有机构在gitee上发现26,400 个有效凭证

安全研究员Ben Zimmermann联合 MongoDB 团队最近采用TruffleHog 和Kingfisher做了一次大规模扫描，对中国最大的代码托管平台 Gitee（码云）进行了数据排查，数据非常惊人：
扫描规模： 7,256,531 个公共仓库（花费约 $3,000 算力成本）
有效泄露： 26,400 个经验证依然活跃的唯一凭证（Key/Token）
重灾区： 阿里云 AK/SK、DeepSeek、智谱 AI、OpenAI 等各大云厂商与 AI 平台密钥（其中近一半是 2025 年新提交的！）
泄露密度： 每千个仓库 3.64 个有效密钥，高于 GitLab (3.11) 和 Bitbucket (2.39)。
3 个值得警惕的技术细节：
工具盲区大： 这次同时用了 TruffleHog 和 Kingfisher。前者扫出了 9,400+ 阿里云密钥，后者抓出了大量国产 AI 平台（如 DeepSeek、智谱）Token，两者重合度仅 1,001 个——单一扫描工具根本不够用。
大厂也中招： 暴露的提交记录里不乏华为、字节跳动，甚至 Google、微软等中外大厂的企业邮箱。
响应机制缺失： 相比 GitHub 与各大厂商联动的“秒级自动吊销”机制，Gitee 缺乏同等的平台级合作扫描；且国内许多企业缺少公开的漏洞上报通道，导致白帽黑客想帮忙止损都找不到门路。
可爱的程序员或者开发者们，看看你们的凭证还好吗？主要是别人可以用你们的key跑模型啊，你们的钱包还好吗？说一千道一万，还是要有点安全意识，什么东西能传公网，什么东西能公开，还是要心里有数啊！改进改改吧！