Gitee पर 26,000 से अधिक सक्रिय AI और क्लाउड क्रेडेंशियल्स का खुलासा

सुरक्षा रिपोर्ट

चीनी कोड-होस्टिंग प्लेटफॉर्म Gitee पर हाल ही में किए गए 72.5 लाख सार्वजनिक रिपॉजिटरी के एक विश्लेषण में 26,400 सक्रिय क्लाउड और AI सेवा क्रेडेंशियल्स का पता चला है। स्वतंत्र शोधकर्ता बेन ज़िमरमैन ने 'ट्रफलहॉग' (TruffleHog) और 'किंगफिशर' (Kingfisher) जैसे गुप्त-स्कैनिंग टूल का उपयोग करके यह डेटा एकत्र किया।

मुख्य निष्कर्ष

• कुल सक्रिय क्रेडेंशियल्स: 26,400।
• प्रमुख सेवाएँ: इसमें 9,473 अलीबाबा क्लाउड एक्सेस-की, 3,805 यूट्यूब एपीआई-की, 3,170 डीपसीक (DeepSeek) की, 1,489 झिपु (Zhipu) बिगमॉडल की, और 1,348 ओपनएआई (OpenAI) की शामिल हैं।
• समय अवधि: लगभग आधे क्रेडेंशियल्स (12,242) वर्ष 2025 में लीक हुए, जबकि कुछ 2000 के दशक के उत्तरार्ध के भी हैं।

जोखिम और प्रभाव

किसी API की के सार्वजनिक होने से अनधिकृत शुल्क, डेटा की हानि और कोटे की समाप्ति जैसे गंभीर खतरे पैदा हो सकते हैं। शोधकर्ता ने स्पष्ट किया कि कोड से की (key) हटा देने या रिपॉजिटरी का इतिहास बदलने से एक्सेस रद्द नहीं होता है। जब तक प्रदाता के डैशबोर्ड से की को रोटेट या रद्द नहीं किया जाता, वह सक्रिय बनी रहती है।

सुरक्षा उपाय

यदि आपका कोई क्रेडेंशियल सार्वजनिक रिपॉजिटरी में रहा है, तो ये कदम उठाएं:

• तत्काल रोटेशन: प्रदाता के माध्यम से पुराने क्रेडेंशियल को तुरंत डिसेबल और डिलीट करें, और नए क्रेडेंशियल जारी करें।
• एपीआई प्रतिबंध: केवल आवश्यक सेवाओं के लिए एपीआई प्रतिबंध लागू करें।
• लॉग मॉनिटरिंग: अलीबाबा क्लाउड के 'एक्शनट्रेल' जैसे लॉग की समीक्षा करें ताकि किसी भी अनधिकृत गतिविधि या संसाधनों में बदलाव का पता चल सके।
• स्कैनिंग टूल: सुनिश्चित करें कि आपके द्वारा उपयोग किए जा रहे स्कैनिंग टूल आपकी सभी सेवाओं को कवर करते हैं, क्योंकि शोध के दौरान पाया गया कि अलग-अलग टूल अलग-अलग प्रकार की की ढूंढने में सक्षम हैं।

यह स्पष्ट नहीं है कि क्या इस खोज से पहले किसी दुर्भावनापूर्ण अभिनेता ने इन क्रेडेंशियल्स का उपयोग किया है या नहीं। सभी डेवलपर्स को यह मानकर चलना चाहिए कि सार्वजनिक रिपॉजिटरी में डाली गई कोई भी की सुरक्षित नहीं है।