A Truffle Security lançou uma nova iniciativa gratuita chamada "Secrets Revocation Program" (Programa de Revogação de Segredos), que visa abordar uma crise de segurança crescente representada por cerca de 1,4 milhão de chaves de API e credenciais vazadas que ainda estão válidas, apesar de terem sido expostas publicamente em repositórios de software, imagens de contêineres (Container images) e dados públicos.
Lacuna de Resposta de Segurança
A empresa revelou um problema fundamental na forma como desenvolvedores e empresas lidam com vazamentos de dados; o simples fato de notificar os desenvolvedores de que suas chaves foram vazadas não garante o seu fechamento. De acordo com dados da Truffle Security, 81% das chaves relatadas no ano passado continuaram funcionando mesmo seis meses após a descoberta do vazamento.
Desde 2022, a empresa monitorou quantidades massivas de dados confidenciais vazados, incluindo:
- 543.000 credenciais válidas em repositórios públicos do GitHub.
- Mais de 431.000 chaves secretas de serviços AWS distribuídas em registros de CI, imagens Docker e histórico do Git.
Impacto das Ferramentas de Inteligência Artificial
A iniciativa apontou que o surgimento de ferramentas de programação apoiadas por IA agravou este problema. Desde janeiro de 2025, a empresa descobriu 2.655 chaves funcionando efetivamente dentro de arquivos de configuração de ferramentas de programação por IA, um problema que não existia no ano anterior. A IA também aumentou a gravidade dos ataques, como ocorreu no incidente da OpenAI em julho passado, onde agentes de IA usaram tokens vazados da plataforma Hugging Face para roubar dados.
Como funciona o novo programa
O programa baseia-se na ferramenta TruffleHog para verificar a validade das chaves vazadas e, em seguida, trabalha na coordenação com os emissores dessas chaves para revogá-las. O processo ocorre por meio de dois caminhos:
- Uso de endpoints de revogação (Revocation endpoints) fornecidos pelos emissores.
- Fornecimento aos emissores das chaves verificadas via tecnologia Webhook para revogação em um período não superior a 14 dias.
16 entidades já se juntaram ao programa, incluindo grandes empresas e plataformas como Hugging Face, Notion, Vercel e Twilio.
Por que esta notícia é importante?
A importância desta iniciativa reside na sua transição da fase de "relatar vulnerabilidades" para a fase de "correção ativa". Em vez de esperar por uma resposta dos desenvolvedores, que muitas vezes é lenta ou inexistente, o programa busca impor a revogação das chaves de forma coordenada. O relatório cita o modelo da empresa Google, que começou a desativar automaticamente chaves de contas de serviço (Service-account keys) vazadas, o que reduziu a porcentagem de chaves vazadas ativas de 72% para apenas 11%.