研究者扫描 Gitee 725 万公开仓库,发现 2.64 万个仍有效的泄露凭据
charles_irl · x · 2026-10-28
独立安全研究员 Ben Zimmermann 与 MongoDB Kingfisher 团队合作发布报告:对 Gitee 上 7,256,531 个公开仓库进行大规模凭据扫描,发现 26,400 个经验证仍有效的唯一凭据,包括某大型企业 AI 平台的组织管理员凭据和数千个可用的云服务商 access key。
方法要点:
- Gitee 是工信部指定的国家开源代码托管平台,但其公开 API 远比 GitHub/GitLab 受限:无分页项目接口,站内代码搜索疑似多年前已下线,2021 年的研究曾因 API 限制放弃
- 研究者用 Modal(serverless 计算平台)在单个 Python 脚本中并行克隆并扫描全部仓库,同时运行 TruffleHog 和 Kingfisher 两个工具——两者各自能验证对方漏掉的凭据,覆盖面显著提升
- Gitee 没有 GitHub 式的厂商密钥扫描合作机制,历史 commit 中的密钥会长期留存
charlesirl(Modal)回应称,面对网络攻击升温应加强纵深防御,Modal 在风暴开始前就支持了该研究者的凭据扫描扩容。
「Infra」频道最新
- 愿望清单：想要 Grok 的客户端，后端接自己的 Hermes 服务器 — intellectronica · 2026-10-29
- 极客整活：用一堆巴掌大的 fomu FPGA 拼出「集群」 — zzznah · 2026-10-29
- Aristotle 形式化验证 1220 万门芯片模块，证明 185 条属性并降功耗 26% — satnam6502 · 2026-10-29
- 9600 张 A100 的 AI 超算挂上 eBay:标价 6000 万美元还包邮 — giveen · 2026-10-29
- ENGY 借 Bittensor 网络宣称推理账单便宜约30%且不牺牲质量 — markjeffrey · 2026-10-29
- Pinokio 省磁盘指南：清缓存与磁盘节省技巧汇总 — cocktailpeanut · 2026-10-29