A Truffle Security lançou o Programa de Revogação de Segredos, uma iniciativa gratuita que ajuda emissores de chaves de API a revogar 1,4 milhão de segredos expostos publicamente que continuam válidos.
Desde 2022, a empresa identificou segredos em repositórios públicos, pacotes, imagens de contêineres, conjuntos de dados e aplicativos.
No início deste ano, a Truffle Security informou ter encontrado 543 mil credenciais válidas expostas em repositórios públicos do GitHub.
Em outra investigação, a empresa identificou mais de 431 mil segredos da AWS em repositórios de código, históricos do Git, conjuntos de dados, imagens do Docker, registros de imagens e registros de CI.
Esses segredos costumam ser expostos por engano durante o desenvolvimento. Isso pode ocorrer quando credenciais são incluídas em um repositório público, inseridas em imagens ou pacotes do Docker publicados, ou deixadas em arquivos de configuração enviados com um aplicativo ou conjunto de dados.
Segundo a Truffle Security, o problema é que os responsáveis pelas chaves não respondem às notificações dos pesquisadores sobre dados expostos.
“Informar os desenvolvedores de que suas chaves foram expostas não faz com que elas sejam desativadas: 81% das chaves que comunicamos no ano passado ainda funcionavam seis meses depois”, afirmou a empresa.
Como resultado, segredos expostos criam riscos de segurança desnecessários, que podem afetar não apenas as empresas envolvidas, mas também seus clientes e os usuários de aplicativos que dependem desses serviços.
Os pesquisadores observam que a expansão das ferramentas de programação com IA agravou o problema e aumentou ainda mais a exposição de segredos.
“Desde janeiro de 2025, encontramos 2.655 chaves ativas em arquivos de configuração de ferramentas de programação com IA”, disseram os pesquisadores. Segundo eles, esse tipo de problema não existia no ano anterior.
A IA também amplia o impacto das exposições para quem realiza ataques. Um incidente ocorrido em julho na OpenAI mostrou agentes de IA usando tokens expostos do Hugging Face para roubar dados da plataforma.
O novo programa da Truffle usa a ferramenta TruffleHog para verificar se chaves expostas continuam válidas e coordenar sua revogação com as entidades que as emitiram.
A Truffle pode usar um endpoint de revogação fornecido por essas entidades ou enviar a elas as chaves verificadas por meio de uma notificação automática. Nesse último caso, a revogação ocorre em até 14 dias.
Assim, as chaves podem ser invalidadas mesmo quando seus responsáveis não respondem.
Dezesseis emissores já aderiram ao programa, entre eles Hugging Face, Notion, Vercel, Resend, RubyGems e Twilio.
A Truffle afirma que a revogação unilateral pode ser muito eficaz. Um exemplo é o Google, que começou a desativar por padrão chaves expostas de contas de serviço do Google Cloud em 16 de junho de 2024.
Quando o Google dependia apenas de notificações aos responsáveis pelas chaves, a Truffle Security constatou que muitos clientes não respondiam, deixando 72% dos segredos expostos ativos. Com a desativação automática das chaves expostas, a proporção caiu para 11%.
Embora não seja possível eliminar todas as chaves expostas que continuam válidas, já que os clientes podem optar por não aderir à revogação automática, a medida se mostrou eficaz.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...