扫描 2.24 亿 GitHub 仓库发现 54 万凭据仍有效，最长已暴露 17 年

jedisct1 · x · 2026-10-08

Truffle Security 扫描了用于训练大模型的公开代码集 The Stack v3（2.24 亿 GitHub 仓库、585 亿文件），发现 543,699 个唯一凭据在 2026 年 7 月测试时仍可认证。中位数凭据已在公开默认分支上暴露 784 天，最老的提交于 2009 年至今仍有效。GitHub 的 push protection 默认开启后确实将已知形态凭据进入公开代码的比率约减半，但仍有 51.8% 的存活凭据是不被识别的形态；且该机制对已泄露的数十万凭据毫无帮助，几乎无人主动吊销。