Gitee 公開程式碼外洩 26400 組有效密鑰

研究員在 Gitee 公開程式碼找到 26,400 組仍然有效的密鑰

獨立資訊保安研究員 Ben Zimmermann 在 10 月 28 日於 MongoDB 網站發表研究，指他掃描了中國最大的本土程式碼託管平台 Gitee 上 7,256,531 個公開程式碼庫，找到 26,400 組仍然可以登入使用的密鑰。這些密鑰是程式自動登入雲端或 AI 服務用的「鎖匙」，任何人取得後都可以冒用帳戶。

Ben Zimmermann 指，其中一組是某大型企業 AI 平台仍然生效的機構管理員密鑰，另有數以千計的雲端服務密鑰。

每 766 個程式碼庫就有一個 Alibaba Cloud 密鑰

研究指，最常見的外洩密鑰是 Alibaba Cloud 的存取密鑰，大約每 766 個 Gitee 程式碼庫就有一個仍然有效。各服務的外洩數量如下：

大部分密鑰都是近兩年才放上平台，單是 2025 年已有 12,242 組，接近整批數據的一半。

比 GitLab 及 Bitbucket 更密集

Ben Zimmermann 把結果與 TruffleSecurity 早前掃描 GitLab 約 560 萬個公開程式碼庫的研究比較。Gitee 每 1,000 個程式碼庫有 3.64 組有效密鑰，高於 GitLab 的 3.11 組及 Bitbucket 的 2.39 組。不過這次同時用了兩款掃描工具，只計其中一款的話，比率是每 1,000 個 1.76 組。

研究又指，Gitee 沒有類似 GitHub 與服務商合作、自動偵測並通知外洩密鑰的機制。

外洩者不只中國開發者

多數密鑰由 qq.com、163.com 及 gmail.com 等個人電郵帳戶提交，難以逐一追查屬於哪間公司。不過，從提交者的公司電郵看，涉及的公司包括 Huawei、ByteDance、Google、Microsoft 及 Oracle 等，研究認為問題並非只限於中國開發者。

撤銷進度未確認

Ben Zimmermann 表示，他已把有效密鑰的完整清單交給外洩數量最多的服務商，讓服務商直接撤銷密鑰，但未有逐一聯絡每位開發者。截至發表時，密鑰撤銷情況仍未確認。他指西方公司一般設有漏洞獎勵計劃或保安聯絡渠道，但多數中國公司沒有，外洩密鑰未必有清晰的處理途徑。

來源

• Scanning 7.25 Million Public Repositories on China's Largest Git Platform for Secrets（原始文件）
• Gitee scan finds 26,400 live credentials across 7.25 million repositories（RuntimeWire）
• Scanning 5.6 million public GitLab repositories for secrets（TruffleSecurity，GitLab 對照研究）