أطلقت شركة Truffle Security مبادرة مجانية جديدة تحت اسم "برنامج إبطال المفاتيح المسربة" (Secrets Revocation Program)، تهدف إلى معالجة أزمة أمنية متفاقمة تتمثل في وجود نحو 1.4 مليون مفتاح برمجي (API keys) وبيانات اعتماد مسربة لا تزال صالحة للاستخدام رغم انكشافها علناً في مستودعات برمجية وصور حاويات (Container images) وبيانات عامة.
فجوة الاستجابة الأمنية
كشفت الشركة عن مشكلة جوهرية في كيفية تعامل المطورين والشركات مع تسريبات البيانات؛ حيث إن مجرد إخطار المطورين بأن مفاتيحهم قد تسربت لا يضمن إغلاقها. ووفقاً لبيانات Truffle Security، فإن 81% من المفاتيح التي تم الإبلاغ عنها العام الماضي ظلت تعمل حتى بعد مرور ستة أشهر على اكتشاف التسريب.
وقد رصدت الشركة منذ عام 2022 كميات هائلة من البيانات الحساسة المسربة، شملت:
- 543,000 بيان اعتماد صالحة في مستودعات GitHub العامة.
- أكثر من 431,000 مفتاح سري خاص بخدمات AWS موزعة عبر سجلات CI، وصور Docker، وتاريخ Git.
تأثير أدوات الذكاء الاصطناعي
أشارت المبادرة إلى أن صعود أدوات البرمجة المدعومة بالذكاء الاصطناعي قد أدى إلى تفاقم هذه المشكلة. فمنذ يناير 2025، اكتشفت الشركة 2,655 مفتاحاً يعمل بشكل فعال داخل ملفات الإعداد الخاصة بأدوات البرمجة بالذكاء الاصطناعي، وهي مشكلة لم تكن موجودة في العام السابق. كما زاد الذكاء الاصطناعي من خطورة الهجمات، كما حدث في واقعة OpenAI في يوليو الماضي، حيث استخدمت وكلاء ذكاء اصطناعي رموز (Tokens) مسربة من منصة Hugging Face لسرقة البيانات.
آلية عمل البرنامج الجديد
يعتمد البرنامج على أداة TruffleHog للتحقق من صلاحية المفاتيح المسربة، ثم يعمل على التنسيق مع الجهات المصدرة لهذه المفاتيح لإبطال مفعولها. وتتم العملية عبر مسارين:
- استخدام نقاط نهاية الإبطال (Revocation endpoints) التي توفرها الجهات المصدرة.
- تزويد الجهات بالمفاتيح التي تم التحقق منها عبر تقنية Webhook لإبطالها خلال فترة زمنية لا تتجاوز 14 يوماً.
وقد انضمت بالفعل 16 جهة إلى البرنامج، من بينها شركات ومنصات كبرى مثل Hugging Face، وNotion، وVercel، وTwilio.
لماذا يهم هذا الخبر؟
تكمن أهمية هذه المبادرة في انتقالها من مرحلة "الإبلاغ عن الثغرات" إلى مرحلة "المعالجة النشطة". فبدلاً من انتظار استجابة المطورين التي غالباً ما تكون بطيئة أو معدومة، يسعى البرنامج لفرض إبطال المفاتيح بشكل منسق. ويستشهد التقرير بنموذج شركة Google التي بدأت في تعطيل مفاتيح حسابات الخدمة (Service-account keys) المسربة تلقائياً، مما أدى إلى خفض نسبة المفاتيح المسربة النشطة من 72% إلى 11% فقط.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.