Truffle Security a lancé une nouvelle initiative gratuite nommée « Secrets Revocation Program » (Programme de révocation des secrets), visant à traiter une crise de sécurité croissante caractérisée par la présence d'environ 1,4 million de clés API (API keys) et d'identifiants fuités qui sont toujours valides malgré leur exposition publique dans des dépôts de code, des images de conteneurs (Container images) et des données publiques.
Écart de réponse à la sécurité
L'entreprise a révélé un problème fondamental dans la manière dont les développeurs et les entreprises gèrent les fuites de données ; le simple fait d'informer les développeurs que leurs clés ont été compromises ne garantit pas leur fermeture. Selon les données de Truffle Security, 81 % des clés signalées l'année dernière étaient toujours opérationnelles même six mois après la découverte de la fuite.
Depuis 2022, l'entreprise a détecté d'énormes quantités de données sensibles fuitées, comprenant :
- 543 000 identifiants valides dans des dépôts GitHub publics.
- Plus de 431 000 clés secrètes pour les services AWS réparties dans des journaux CI, des images Docker et l'historique Git.
Impact des outils d'intelligence artificielle
L'initiative a souligné que l'essor des outils de programmation assistés par l'IA a aggravé ce problème. Depuis janvier 2025, l'entreprise a découvert 2 655 clés fonctionnant activement à l'intérieur des fichiers de configuration des outils de programmation par IA, un problème qui n'existait pas l'année précédente. L'IA a également augmenté la dangerosité des attaques, comme lors de l'incident OpenAI en juillet dernier, où des agents d'IA ont utilisé des jetons (Tokens) fuités de la plateforme Hugging Face pour voler des données.
Fonctionnement du nouveau programme
Le programme s'appuie sur l'outil TruffleHog pour vérifier la validité des clés fuitées, puis coordonne avec les émetteurs de ces clés pour les révoquer. Le processus se déroule via deux voies :
- L'utilisation des points de terminaison de révocation (Revocation endpoints) fournis par les émetteurs.
- La fourniture aux entités des clés vérifiées via la technologie Webhook pour les révoquer dans un délai ne dépassant pas 14 jours.
16 entités ont déjà rejoint le programme, dont des entreprises et des plateformes majeures telles que Hugging Face, Notion, Vercel et Twilio.
Pourquoi cette nouvelle est-elle importante ?
L'importance de cette initiative réside dans son passage de la phase de « signalement des vulnérabilités » à la phase de « traitement actif ». Au lieu d'attendre une réponse des développeurs, qui est souvent lente ou inexistante, le programme cherche à imposer la révocation des clés de manière coordonnée. Le rapport cite le modèle de l'entreprise Google, qui a commencé à désactiver automatiquement les clés de comptes de service (Service-account keys) fuitées, ce qui a réduit le pourcentage de clés fuitées actives de 72 % à seulement 11 %.