GitHub 憑證有效逾五十萬組

超過 54 萬組仍有效

資安公司 Truffle Security 掃描公開 GitHub 訓練語料「The Stack v3」（約 2.245 億個預設分支倉庫、爬取截止 2025 年 8 月 7 日），並於 2026 年 7 月 27 至 28 日重驗仍可通過認證的憑證，錄得 543,699 組獨特憑證仍然有效。BleepingComputer 獨立報道同一組數字。

這些有效憑證的年齡中位數為 784 日；約一成超過 6.3 年。最舊一組最後觸及時間可追溯至 2009 年 6 月 13 日，驗證時仍有效——宜寫「自 2009 年」，不宜簡化成「17 年前」作主標。研究量度的是仍可認證，並不代表已被濫用。

npm 幾乎清光，GCP 服務帳號逾半仍活

對照鮮明：寫入倉庫的 npm 權杖有 101,886 組，重驗時僅 1 組仍有效（約 0.001%）。Google Cloud 服務帳號憑證則有 126,963 組曾被提交，其中 69,041 組（約 54%）於重驗時仍可使用。

掃描範圍為該語料快照的預設分支，並非完整 git 歷史。社交上流傳「半數 GitHub 憑證仍可用」一類概括，並不對應這項研究的實際分母。

來源

• GitHub repos exposed 543,699 credentials. Nobody revoked them.（Truffle Security）
• Over 543,000 valid credentials exposed in public GitHub repositories（BleepingComputer）