26.400 credenciais que desenvolvedores deixaram em código público no Gitee, serviço chinês de hospedagem de código, ainda funcionavam quando um pesquisador as testou. Qualquer pessoa que copiasse uma delas poderia usá-la.
O pesquisador independente Ben Zimmermann encontrou as credenciais ao analisar 7,25 milhões de repositórios públicos do Gitee. Ele divulgou os resultados em 28 de outubro. A maioria era formada por chaves de serviços de cloud e de IA. O maior grupo, com 9.473 pares de chaves de acesso da Alibaba Cloud, liderava a lista.
Zimmermann enviou aos fornecedores com mais chaves expostas uma relação das credenciais, mas não entrou em contato com os desenvolvedores que as publicaram. Quando divulgou os resultados, ele ainda não havia confirmado se alguma das credenciais identificadas tinha sido revogada. Portanto, quem já publicou uma chave em um repositório público do Gitee não deve presumir que ela tenha sido revogada.
A varredura durou cerca de um mês, mas Zimmermann não informou as datas. Por isso, não é possível saber há quanto tempo as credenciais foram testadas. Ele também não disse se alguém já as havia usado.
Zimmermann usou duas ferramentas de detecção de segredos, TruffleHog e Kingfisher, para analisar todos os repositórios. Segundo ele, ambas testaram cada credencial no serviço que a emitiu e mantiveram apenas as que funcionaram.
As ferramentas examinaram o histórico completo de alterações de cada repositório. Assim, uma chave que um desenvolvedor removeu do código posteriormente ainda poderia ser encontrada e contabilizada.
O total de 26.400 considera cada credencial uma única vez, independentemente do número de repositórios em que apareceu. Pelas datas das alterações, 12.242 credenciais foram publicadas em 2025, quase metade do total. Algumas remontavam ao fim dos anos 2000.
O que foi exposto
Depois das chaves da Alibaba Cloud, os maiores grupos eram formados por 3.805 chaves de API do YouTube, 3.170 chaves da DeepSeek, 1.489 chaves da plataforma de IA BigModel, da Zhipu, e 1.348 chaves da OpenAI. Também foram encontradas quantidades menores de chaves do GitHub, da AWS, do Google Cloud e do Gemini, do Google.
Uma das credenciais era, segundo Zimmermann, “uma credencial ativa de administrador de organização de uma grande plataforma empresarial de IA”. Ele não identificou a plataforma nem explicou a quais recursos a credencial dava acesso.
O que alguém pode fazer com uma chave válida depende do serviço. A OpenAI afirma que uma chave comprometida permite que outra pessoa use, sem autorização do titular, a cota da conta. Isso pode causar “perda de dados, cobranças inesperadas”, esgotar a cota mensal e interromper o acesso à API.
Uma chave de API do YouTube identifica um projeto do Google Cloud, segundo o Google. Sem restrições de API, ela pode ser usada com qualquer API que aceite chaves do Google Cloud.
O que fazer se você publicou chaves
Considere exposta qualquer chave que já tenha aparecido em um repositório público do Gitee e revogue-a junto ao fornecedor. Apagar a chave do código ou reescrever o histórico do repositório não a revoga, como explica a Truffle Security, empresa responsável pelo TruffleHog.
- **Alibaba Cloud:** crie um novo par de chaves de acesso, atualize os aplicativos para usá-lo e, em seguida, desative e exclua o par antigo. Verifique se houve cobranças inesperadas e se recursos foram criados ou excluídos sem necessidade, recomenda o plano de resposta a vazamentos da Alibaba Cloud. O ActionTrail mostra as chamadas de API feitas com a chave nos últimos 90 dias. Já as operações de dados em serviços como OSS e SLS precisam ser verificadas nos registros de cada serviço.
- **Chaves de API do Google e do YouTube:** renove a chave para criar outra com as mesmas restrições, atualize os aplicativos para usar a nova e exclua a antiga. Defina restrições de API para permitir o uso apenas com as APIs necessárias.
- **OpenAI:** renove a chave imediatamente na página de chaves de API, conforme orienta a empresa, e configure limites de gastos para reduzir cobranças causadas pelo uso de uma chave exposta.
Duas ferramentas, resultados diferentes
A MongoDB mantém a Kingfisher, e o relatório de Zimmermann foi elaborado em colaboração com a equipe responsável pela ferramenta.
Nesta varredura, o TruffleHog encontrou 12.737 credenciais funcionais, enquanto a Kingfisher identificou 14.664. Apenas 1.001 foram detectadas pelas duas ferramentas. Cada uma encontrou, sozinha, cerca de metade do total.
O TruffleHog localizou quase todas as chaves da Alibaba Cloud. Já a Kingfisher encontrou as 1.489 chaves da BigModel. Segundo Zimmermann, isso ocorreu porque o TruffleHog não tem um detector para as chaves da Zhipu.
Equipes que dependem de uma única ferramenta de varredura devem verificar se ela detecta credenciais dos serviços que utilizam.
Gitee e outros serviços de hospedagem de código
Em 2020, o Ministério da Indústria e Tecnologia da Informação da China escolheu o Gitee como base para uma plataforma nacional de hospedagem de código aberto.
A API pública do Gitee tem limitações. Uma tentativa de estudar credenciais expostas no serviço, em 2021, foi abandonada por causa dessas restrições.
A taxa do Gitee, de 3,64 credenciais funcionais para cada 1.000 repositórios analisados, é maior do que as registradas em varreduras anteriores do GitLab, com 3,11, e do Bitbucket, com 2,39. Essas análises usaram apenas o TruffleHog, escreveu Zimmermann.
Considerando somente os resultados do TruffleHog, a taxa do Gitee cai para 1,76. Esse número, porém, não inclui serviços que a ferramenta não cobre, como a Zhipu. Portanto, nenhuma das duas taxas permite concluir qual plataforma expõe mais credenciais.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...