Truffle Security запустила программу отзыва 1,4 млн утечек API-ключей

Компания Truffle Security представила новую инициативу Secrets Revocation Program, направленную на борьбу с критическими утечками учетных данных. Программа призвана автоматически аннулировать 1,4 миллиона действующих секретных ключей и токенов, которые были случайно опубликованы в открытых репозиториях, контейнерах и базах данных, но так и не были отозваны владельцами.

• Программа автоматизирует процесс деактивации API-ключей через сотрудничество с провайдерами услуг.
• Более 80% скомпрометированных ключей остаются активными через полгода после уведомления разработчиков.
• Рост использования AI-инструментов привел к новой волне утечек конфигурационных файлов.
• Уже 16 крупных компаний, включая Hugging Face, Notion и Twilio, присоединились к инициативе.

Проблема пассивности владельцев ключей

Исследователи Truffle Security отмечают, что традиционные методы оповещения разработчиков об утечках работают неэффективно. Статистика показывает, что 81% ключей, о которых сообщалось в прошлом году, продолжали функционировать спустя шесть месяцев. Владельцы часто игнорируют уведомления, что создает огромные риски для безопасности не только компаний, но и их конечных пользователей. Эти секреты, попавшие в Docker-образы или публичные Git-истории, становятся легкой добычей для злоумышленников.

Влияние ИИ на кибербезопасность

Ситуация усугубляется распространением инструментов для написания кода с помощью ИИ. Только с января 2025 года эксперты обнаружили тысячи рабочих ключей в конфигурационных файлах, генерируемых этими системами. Кроме того, ИИ-агенты теперь способны сами использовать найденные токены для кражи данных, как это было в инциденте с Hugging Face в июле прошлого года.

Эффективность автоматического отзыва

Программа использует инструмент TruffleHog для подтверждения валидности ключей и последующего взаимодействия с их эмитентами через вебхуки или специализированные API. Опыт Google показал, что автоматическое отключение скомпрометированных ключей снижает долю активных утечек с 72% до 11%. Подобный подход позволяет минимизировать «окно возможностей» для хакеров.

Значение для IT-индустрии

Для бизнеса и разработчиков в регионе СНГ эта новость означает смену парадигмы безопасности: полагаться на человеческий фактор больше нельзя. Инициатива Truffle Security задает новый стандарт «безопасности по умолчанию», где провайдеры сервисов берут на себя ответственность за отзыв скомпрометированных учетных данных своих клиентов. Это значительно повышает общую гигиену безопасности в облачных средах.