码云(Gitee)公开仓库里有2.64万个云服务或AI密钥 都是开发者操作失误导致泄露

独立安全研究员本奇莫尔曼对中国本土开源仓库托管平台码云 (Gitee) 进行扫描，扫描目标主要是托管在码云上的公开仓库。扫描结果显示：扫描 725 万个仓库后发现 2.6 万个经过验证仍然有效的私有凭证，涉及阿里云、DeepSeek、OpenAI、智谱等等。

研究人员使用开源工具扫描公开仓库，在扫描时也向相关服务商的接口验证找出来的凭证是否有效，统计结果按照密钥内容进行去重，例如某个密钥在多个仓库里重复出现那也只计算 1 次。

扫描结果如下：

报告还提到某家大型企业 AI 平台的组织管理员凭证出现在扫描结果中，此类拥有极高权限的凭证如果被他人获取，可能会给账户管理和各类资源带来安全风险。

Git 会保留历史提交，因此开发者即使后来从当前文件中删除密钥，旧提交中仍然可能保留原始内容。扫描显示 2025 年提交的记录中包含 12242 个验证有效的凭证，占全部有效凭证的 50% 左右。

可以看到这些泄露的凭证基本都是开发者操作失误造成的，有些是在初始提交中泄露，更多则是开发者不慎将硬编码的 API 凭证直接写在文件里提交。

安全研究员表示已经向暴露数量较高的服务商发送报告，提供相关有效凭证和来源仓库信息，帮助这些服务商识别受影响的客户并撤销已经泄露的密钥。

不过由于此次泄露规模太大，所以研究人员无法逐个联系受影响的开发者，截至本文发布时相关服务商尚未确认已经撤销泄露的密钥，所以建议开发者自行检查仓库查找是否有泄露情况。