Компания Truffle Security запустила новую бесплатную инициативу под названием «Программа аннулирования секретов» (Secrets Revocation Program), целью которой является решение обостряющегося кризиса безопасности, связанного с наличием около 1,4 миллиона утекших программных ключей (API keys) и учетных данных, которые остаются действительными, несмотря на их публичное раскрытие в программных репозиториях, образах контейнеров (Container images) и открытых данных.
Пробел в реагировании на угрозы безопасности
Компания выявила фундаментальную проблему в том, как разработчики и компании справляются с утечками данных: простого уведомления разработчиков о том, что их ключи утекли, недостаточно для обеспечения их закрытия. Согласно данным Truffle Security, 81% ключей, о которых было сообщено в прошлом году, продолжали работать даже спустя шесть месяцев после обнаружения утечки.
С 2022 года компания зафиксировала огромные объемы утекших конфиденциальных данных, включая:
- 543 000 действующих учетных данных в публичных репозиториях GitHub.
- более 431 000 секретных ключей для сервисов AWS, распределенных в логах CI, образах Docker и истории Git.
Влияние инструментов искусственного интеллекта
В рамках инициативы отмечается, что рост популярности инструментов программирования на базе ИИ усугубил эту проблему. С января 2025 года компания обнаружила 2 655 фактически работающих ключей в конфигурационных файлах инструментов программирования с ИИ — проблема, которой не было в предыдущем году. ИИ также повысил опасность атак, как это произошло в инциденте с OpenAI в июле прошлого года, когда ИИ-агенты использовали токены (Tokens), утекшие с платформы Hugging Face, для кражи данных.
Механизм работы новой программы
Программа использует инструмент TruffleHog для проверки действительности утекших ключей, а затем координирует действия с эмитентами этих ключей для их аннулирования. Процесс осуществляется по двум направлениям:
- Использование конечных точек аннулирования (Revocation endpoints), предоставляемых эмитентами.
- Предоставление эмитентам проверенных ключей через технологию Webhook для их аннулирования в течение периода, не превышающего 14 дней.
К программе уже присоединились 16 организаций, включая такие крупные компании и платформы, как Hugging Face, Notion, Vercel и Twilio.
Почему это важно?
Важность этой инициативы заключается в переходе от этапа «сообщения об уязвимостях» к этапу «активного устранения». Вместо того чтобы ждать реакции разработчиков, которая часто бывает медленной или отсутствует вовсе, программа стремится обеспечить скоординированное аннулирование ключей. В отчете приводится в пример модель компании Google, которая начала автоматически отключать утекшие ключи сервисных аккаунтов (Service-account keys), что привело к снижению доли активных утекших ключей с 72% до всего лишь 11%.