Truffle Security 公司推出了一项名为“泄露密钥作废计划”（Secrets Revocation Program）的新免费倡议，旨在解决日益严重的安全性危机，即大约有 140 万个泄露的 API 密钥和凭据，尽管已在软件仓库、容器镜像（Container images）和公开数据中公开暴露，但仍可继续使用。
安全响应差距
该公司揭示了开发人员和公司在处理数据泄露方面的一个根本性问题：仅仅通知开发人员其密钥已泄露并不能保证其会被关闭。根据 Truffle Security 的数据，去年报告的密钥中，有 81% 在发现泄露六个月后仍在使用中。
自 2022 年以来，该公司监测到了海量的泄露敏感数据，包括：
- 543,000 个在 GitHub 公共仓库中的有效凭据。
- 分布在 CI 日志、Docker 镜像和 Git 历史中的超过 431,000 个 AWS 服务专用密钥。
人工智能工具的影响
该倡议指出，人工智能驱动的编程工具的兴起加剧了这一问题。自 2025 年 1 月以来，该公司在人工智能编程工具的配置文件中发现了 2,655 个正在有效运行的密钥，而这一问题在去年并不存在。此外，人工智能还增加了攻击的危险性，正如去年 7 月的 OpenAI 事件中所发生的那样，人工智能代理使用了从 Hugging Face 平台泄露的令牌（Tokens）来窃取数据。
新计划的工作机制
该计划依靠 TruffleHog 工具来验证泄露密钥的有效性，然后与这些密钥的发行方协调以将其作废。该过程通过两条路径进行：
- 使用发行方提供的作废端点（Revocation endpoints）。
- 通过 Webhook 技术向发行方提供已验证的密钥，以便在不超过 14 天的时间内将其作废。
目前已有 16 家机构加入了该计划，其中包括 Hugging Face、Notion、Vercel 和 Twilio 等大型公司和平台。
为什么这条新闻很重要？
该倡议的重要性在于它从“漏洞报告”阶段转向了“主动处理”阶段。该计划不再等待通常缓慢或毫无反应的开发人员响应，而是寻求协调地强制执行密钥作废。报告引用了 Google 的模式，该公司已开始自动禁用泄露的服务账号密钥（Service-account keys），从而将活跃泄露密钥的比例从 72% 降低到了仅 11%。