Truffle Security가 실시한 연구에 따르면, 플랫폼의 민감한 비밀정보가 실수로 게시되는 것을 막기 위한 도구에도 불구하고 7월 동안 GitHub 공개 저장소에서 여전히 유효하고 노출된 고유 자격 증명 543,699건이 발견됐다. 이 결과는 분기된 저장소 사본을 포함해 2억 2,400만 개의 저장소와 580억 개가 넘는 파일을 분석한 뒤 도출됐다.
문제는 최근의 비밀정보에만 국한되지 않았다. 고유 자격 증명은 중앙값 기준 784일 동안 공개적으로 이용 가능한 상태로 남아 있었다. 작동 중인 데이터의 약 10%는 6.3년보다 오래된 것이었으며, 조사에서 확인된 가장 오래된 유효 자격 증명은 2009년으로 거슬러 올라갔다.
노출 범위와 추세
조사에서 집계된 자격 증명은 110만 개가 넘는 파일과 저장소에서 발견됐다. 분석은 2025년 8월 7일 완료된 크롤링을 바탕으로 구축된 대규모 언어 모델 훈련용 데이터셋에 기반했다.
Truffle Security는 이 수치가 8월에 Hugging Face 플랫폼을 조사하면서 발견한 221,303건의 작동 중인 자격 증명보다 두 배 이상 많다고 밝혔다. 또한 작동 중인 비밀정보의 밀도는 2015년 파일 100만 개당 3.72건에서 2025년 11.62건으로 정점에 이르렀다.
Push Protection은 무엇을 바꾸었나?
GitHub는 2022년 4월 Advanced Security 사용자에게 Push Protection 기능을 도입한 뒤, 2023년 5월 공개 저장소에서 사용할 수 있도록 했으며, 1년 후 기본값으로 활성화했다. 이 기능은 API 키와 액세스 토큰 같은 알려진 패턴을 찾기 위해 들어오는 코드를 검사하고, 이를 발견하면 업로드를 차단한다.
그러나 이 기능은 발견되기 전에 노출된 자격 증명을 무효화하거나 비활성화하지 않는다. 7월에도 여전히 작동 중이었던 자격 증명 가운데 199,843건은 2024년 2월 모든 사용자에게 Push Protection이 활성화된 이후 노출된 것으로, 전체의 약 36.8%에 해당했다. 또한 작동 중인 자격 증명의 51.8%는 기본 보호 기능이 차단하지 않는 범주에 속했으며, 여기에는 데이터베이스 연결 문자열과 Google API 키가 포함된다.
그럼에도 이 기능은 적용 범위 내에서는 효과적인 것으로 나타났다. 보호 대상 범주에서 자격 증명 노출률은 이 기능이 기본값으로 활성화된 이후 53% 감소했다.
이 소식이 중요한 이유
이번 결과는 새로운 비밀정보의 업로드를 막는 것만으로는 위험 전체를 해결할 수 없음을 보여준다. 비밀정보는 저장소 기록이나 분기된 사본에 장기간 남아 있을 수 있으며, 대응 효과도 자격 증명의 종류와 연결된 서비스에 따라 달라진다.
예를 들어 노출된 npm 토큰 101,886개 중 유효한 상태로 남은 것은 단 하나뿐이었던 반면, Google Cloud 서비스 계정 자격 증명은 126,963건 중 69,041건이 분석 시점에도 유효했다. Truffle Security는 노출된 자격 증명을 즉시 교체하고, 저장소를 정리하며, 변경 기록을 검사하고, 활성 비밀정보에 자동 만료를 설정할 것을 권고한다.
이 연구는 실제로 도난당했거나 공격에 사용된 비밀정보의 비율을 특정하지 않으므로, 확인된 피해 규모가 아니라 악용 가능한 노출 규모를 측정한다. 따라서 이 점은 여전히 열린 질문으로 남아 있으며, 관찰된 유효 자격 증명 수와 혼동해서는 안 된다.