Gitee 公开仓库被曝泄露 26,400 条有效云与 AI 凭证

据 The Hacker News 报道，代码托管平台 Gitee 的公开仓库中被发现存在 26,400 条仍然有效的云服务与 AI 服务凭证。目前公开的标题与摘要没有披露扫描由谁执行、具体涉及哪些云与 AI 厂商，也没有说明这些凭证已经暴露了多久，这些细节仍待后续披露。

所谓凭证，通常指 API key、访问令牌、数据库口令这类能直接换取资源访问权的字符串。它们一旦被硬编码进代码并推到公开仓库，就等于把钥匙挂在门上：任何人把仓库 clone 下来都能直接读到，不需要任何漏洞利用。

这类事故的成因高度相似：原型阶段把密钥写进配置文件、示例脚本忘了脱敏、CI 配置或 notebook 随手提交。事后删除往往无效，因为提交历史仍在，而抓取者的扫描速度以分钟计。

AI 凭证尤其敏感。模型调用按用量计费，一把泄露的 key 可以在很短时间内被用来跑出天价账单；云凭证则可能意味着对象存储、算力实例乃至内部网络的访问权，风险不止于钱。

对在 Gitee 上维护公开项目的团队来说，可行的动作是老几样：开启平台的密钥扫描能力、把历史中出现过的密钥全部轮换、给每个 key 设最小权限与额度上限、在推送前加一道预提交钩子。

更值得注意的是这个数字本身的规模感。两万多条有效凭证说明这不是个别失误，而是默认工作方式的系统性结果——也正因为如此，主流代码托管平台近年都在把密钥扫描做成默认开启的能力。后续值得关注的是报道是否披露受影响的服务商范围，以及相关凭据是否已被清理。