公共仓库泄密风险：1.7万密钥暴露，GitLab安全漏洞与数据库凭证防护
11月29日，Truffle Security安全工程师在GitLab Cloud平台上扫描了约560万个公共代码仓库，发现其中竟有17,430条有效密钥仍在泄露，波及2,804个独立域名，涵盖云服务、数据库和各类API凭据等敏感信息。他也因此获得了超过9000美元（约合63748元人民币）的漏洞奖金。
免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈
这项研究由安全工程师Luke Marshall主导，并通过Truffle Security的研究计划发布。他此前也对Bitbucket与Common Crawl数据集进行过类似检查，分别发现了6,212条和12,000条有效密钥。Luke长期关注开源生态系统中的密钥泄露问题，此前曾在NPM、PyPI中发现过类似情况。
GitLab于2011年正式问世，是三大主流Git托管服务之一。虽然它发布最晚，但其公开仓库数量几乎是Bitbucket的两倍。与GitHub、Bitbucket一样，由于Git记录会长期保留历史提交，平台又托管着数百万公开项目，因此更容易出现开发者误提交密钥的情况。
Luke Marshall使用了Truffle Security开源软件，通过GitLab的公共API枚举所有公共仓库，并使用自编的Python脚本分页获取结果。整个过程在约24小时内完成，云端总成本约为770美元。
Marshall共发现了17,430条可验证且仍可使用的密钥，数量约为其Bitbucket扫描结果的三倍，库密度（每仓库暴露的密钥数量）也高出35%。
据报告介绍，泄露的密钥大多数是2018年之后生成的，甚至包括可追溯到2009年且至今仍有效的密钥（早于GitLab的发布日期，推测为从其他平台迁入时带入）。
在暴露的密钥中，Google Cloud Platform（GCP）凭证是最常见的类别，平均每约1060个仓库中就会出现一组有效GCP密钥，总数超过5,200条；其次是MongoDB密钥、Telegram机器人令牌和OpenAI密钥。
另外，此次研究还观察到显著的“平台本地性”：在GitLab上发现了406组有效GitLab密钥，而在Bitbucket上仅出现16组，说明开发者更容易在使用某个平台时误提交该平台的访问凭证。
为加速后续的漏洞披露流程，他使用可联网搜索的Claude Sonnet 3.7分析每个域名的最佳安全报告渠道，并额外编写脚本生成披露邮件，最终向120余个组织报告了泄露情况，并另外与30多家SaaS服务提供商合作，协助处理客户凭证暴露问题。
Marshall表示，许多组织已在收到通知后撤销其暴露的密钥，但仍有部分凭据继续在GitLab上公开暴露。
相关攻略
Sid 这个案例最震撼我的，不是“AI 参与抗癌”这几个字本身。而是它让我第一次很清楚地感觉到：AI 真正的用途，可能从来都不是回答问题。而是进入那些原本只有专家团队才能推进的复杂现实，把前面的认知
11 月 29 日消息，Truffle Security 安全工程师对 GitLab Cloud 上约 560 万个公共仓库进行扫描，发现其中包含 17,430 条有效密钥，涉及 2,804 个独
Trae：字节跳动发布的免费AI编程助手，采用Claude模型通义灵码：阿里推出的AI编程工具，依托通义大模型技术文心快码：百度开发的AI编程助手，基于文心大模型架构豆包AI编程：
GitHub作为全球最大的开源代码托管平台，深受开发者的喜爱。然而，由于网络限制，国内用户访问GitHub时经常会遇到速度慢、连接不稳定的问题。为了解决这一问题，国内涌现了多个Gi
GitHub作为全球最大的开源代码托管平台，深受开发者们的喜爱。然而，国内访问GitHub的速度常常令人头疼。为了解决这一问题，许多开发者转向使用GitHub的国内镜像网站。本文将
热门专题
热门推荐
《全面战争：中世纪3》：经典延续，如何平衡怀旧与创新？ 近期，《全面战争：中世纪3》的项目负责人帕维尔·沃伊斯坦然指出，要打造一款真正优秀的续作，绝不能仅仅依赖对前作模式的简单复刻。这一观点引人深思——尽管《中世纪2：全面战争》至今仍在策略游戏爱好者心中占据着经典地位，但开发团队此次显然决心跳出“照
雷鸟X3 Pro斩获AWE艾普兰创新大奖，开启全民AR生活新篇章 在上海新国际博览中心隆重揭幕的2026年中国家电及消费电子博览会（AWE）上，前沿AI科技与未来生活愿景激情碰撞。全球消费级AR领导品牌雷鸟创新，以其里程碑式的表现，定义了行业发展的新方向。 通过“顶尖硬件科技+顶级文化IP”的双轨战
借力AWE2026“一展双区”，MOVA双区协同、震撼登场 备受瞩目的科技盛会——2026年中国家电及消费电子博览会（AWE），于3月12日至15日在上海盛大举办。本届AWE展会首次创新采用“一展双区”的展览模式，主会场位于上海新国际博览中心，分会场则设于上海东方枢纽国际商务合作区，两大展区高效联动
冰结师技能全解析 踏入2026年，《地下城与勇士》中的冰结师职业，其技能体系已构建得更为成熟与强大。无论是在副本中高效清理海量怪物，还是在决斗场与高手玩家周旋，这个职业都能凭借其独特的冰霜艺术掌控战局。刷图时，酷寒的范围法术可瞬间清屏；而在PVP竞技中，一套将冻结控制与瞬间爆发完美衔接的连招，往往让
iPhone 18 Pro系列模具不变，屏幕形态将与iPhone 17 Pro保持一致 备受期待的屏下Face ID组件小型化设计与灵动岛区域缩窄方案，预计将被推迟至后续迭代机型中正式应用。 近期，关于iPhone 18 Pro系列的技术传闻持续引发行业关注，尤其在显示与解锁设计领域传言甚多。多方消