公共仓库泄密风险：1.7万密钥暴露，GitLab安全漏洞与数据库凭证防护
11月29日，Truffle Security安全工程师在GitLab Cloud平台上扫描了约560万个公共代码仓库，发现其中竟有17,430条有效密钥仍在泄露，波及2,804个独立域名，涵盖云服务、数据库和各类API凭据等敏感信息。他也因此获得了超过9000美元（约合63748元人民币）的漏洞奖金。
这项研究由安全工程师Luke Marshall主导，并通过Truffle Security的研究计划发布。他此前也对Bitbucket与Common Crawl数据集进行过类似检查，分别发现了6,212条和12,000条有效密钥。Luke长期关注开源生态系统中的密钥泄露问题，此前曾在NPM、PyPI中发现过类似情况。
GitLab于2011年正式问世，是三大主流Git托管服务之一。虽然它发布最晚，但其公开仓库数量几乎是Bitbucket的两倍。与GitHub、Bitbucket一样，由于Git记录会长期保留历史提交，平台又托管着数百万公开项目，因此更容易出现开发者误提交密钥的情况。
Luke Marshall使用了Truffle Security开源软件，通过GitLab的公共API枚举所有公共仓库，并使用自编的Python脚本分页获取结果。整个过程在约24小时内完成，云端总成本约为770美元。
Marshall共发现了17,430条可验证且仍可使用的密钥，数量约为其Bitbucket扫描结果的三倍，库密度（每仓库暴露的密钥数量）也高出35%。
据报告介绍，泄露的密钥大多数是2018年之后生成的，甚至包括可追溯到2009年且至今仍有效的密钥（早于GitLab的发布日期，推测为从其他平台迁入时带入）。
在暴露的密钥中，Google Cloud Platform（GCP）凭证是最常见的类别，平均每约1060个仓库中就会出现一组有效GCP密钥，总数超过5,200条；其次是MongoDB密钥、Telegram机器人令牌和OpenAI密钥。
另外，此次研究还观察到显著的“平台本地性”：在GitLab上发现了406组有效GitLab密钥，而在Bitbucket上仅出现16组，说明开发者更容易在使用某个平台时误提交该平台的访问凭证。
为加速后续的漏洞披露流程，他使用可联网搜索的Claude Sonnet 3.7分析每个域名的最佳安全报告渠道，并额外编写脚本生成披露邮件，最终向120余个组织报告了泄露情况，并另外与30多家SaaS服务提供商合作，协助处理客户凭证暴露问题。
Marshall表示，许多组织已在收到通知后撤销其暴露的密钥，但仍有部分凭据继续在GitLab上公开暴露。
相关攻略
需求人群 如果你所在的开发团队，正被重复编码和代码安全这两个问题来回“拉扯”，那得好好看看这段。这工具瞄准的，正是那些渴望提升编码效率，同时又对源代码安全绷着一根弦的团队。 产品特色 它的核心能力，说白了就是给开发者配了个“实时参谋”。利用生成式人工智能，在你敲代码的时候，它能主动给出下一行的建议，
产品介绍 在软件开发流程日益复杂的今天，如何让工具更“聪明”地辅助团队，成了各大平台发力的重点。GitLab Duo，正是GitLab公司在这个方向上给出的答案。这是一套由AI驱动的工作流程增强工具包，其核心目标很明确：为开发团队注入智能化的辅助能力，全方位提升日常工作的效率。它没有选择以独立应用的
Sid 这个案例最震撼我的，不是“AI 参与抗癌”这几个字本身。而是它让我第一次很清楚地感觉到：AI 真正的用途，可能从来都不是回答问题。而是进入那些原本只有专家团队才能推进的复杂现实，把前面的认知
11 月 29 日消息，Truffle Security 安全工程师对 GitLab Cloud 上约 560 万个公共仓库进行扫描，发现其中包含 17,430 条有效密钥，涉及 2,804 个独
Trae：字节跳动发布的免费AI编程助手，采用Claude模型通义灵码：阿里推出的AI编程工具，依托通义大模型技术文心快码：百度开发的AI编程助手，基于文心大模型架构豆包AI编程：
热门专题
热门推荐
在追求极致效率的现代软件开发中，一款名为Cursor的AI代码编辑器正引领着开发范式的变革。它被定义为“面向未来的IDE”，其核心理念清晰而有力：将人工智能深度无缝地集成到编码工作流的每一个步骤，为开发者创造一种前所未有的“AI结对编程”体验。 Cursor sh应用场景 那么，这款AI驱动的编辑器
在众多AI图像生成工具中，WHEE凭借其精准的产品定位与持续的功能迭代，正成为越来越多设计师和内容创作者的首选工具。它专注于打造高品质的AI视觉素材生成器，核心使命就是帮助用户快速、高效地获得可直接使用的优质图片素材。 那么，这款AI绘图工具究竟有哪些核心优势？下面我们从其关键特性与功能设计进行深入
在AI绘画工具不断涌现的当下，一款名为NightCafe Creator的应用以其全面的AI艺术生成能力脱颖而出。它不仅是一个简单的图片处理工具，更是一个融合了多种前沿人工智能技术的创意平台，帮助用户轻松实现从构思到成品的艺术创作。 NightCafe Creator是什么？ NightCafe C
近期加密货币市场受到宏观经济不确定性及流动性紧缩影响，比特币(BTC)、以太坊(ETH)以及多种山寨币出现明显下行走势，市场情绪趋于谨慎。 比特币近期走势分析 比特币的价格近期表现如何？简单来说，它跌破了几个市场公认的关键支撑位，而且伴随交易量的放大。这种放量下跌的信号，往往意味着多空分歧加剧。无论
蔡司宣布将于6月2日发布一款新镜头，并称其为镜头技术的重大突破，标志着全新纪元的开启。官方仅公布了产品剪影，但措辞暗示其可能带来根本性的技术升级，例如全新光学结构、先进镀膜或对焦系统改进。具体细节需待发布日揭晓。