Public Gitee depolarinda 26.400 gecerli bulut ve AI anahtari aciga cikti

Bagimsiz bir arastirmaci, Cin merkezli kod barindirma platformu Gitee'deki public depolarda calisir durumda 26.400 benzersiz bulut ve AI kimlik bilgisi buldu. The Hacker News'in 29 Ekim 2026 tarihli haberine gore bulgular, suregelen bir sorunun altini ciziyor: public kod depolarina islenen sirlar, gelistiriciler temizledigini sandiktan cok sonra bile kullanilabilir kaliyor.

Neler oldu?

The Hacker News, arastirmaci Ben Zimmermann'in 7,25 milyon public Gitee deposunu -tam commit gecmisleri dahil- taradigini ve sonuclari 28 Ekim'de yayimladigini aktardi. Gelistiricilerin sonradan koddan sildigi anahtarlar bile sayildi; cunku bunlar commit gecmisinde varligini suruyor. Her kimlik bilgisi, kac depoda bulundugundan bagimsiz olarak bir kez sayildi ve habere gore yalnizca ilgili servislere karsi test edilip calistigi dogrulanan kimlik bilgileri tutuldu. Commit tarihleri, kimlik bilgilerinin 12.242'sinin 2025'ten geldigini, bir kisminin ise 2000'lerin sonuna kadar uzandigini gosterdi.

Teknik detaylar

Habere gore tarama iki sir tespit aracini kullandi: Truffle Security'nin TruffleHog'u ve MongoDB'nin Kingfisher'i; Kingfisher ekibi yazinin hazirlanmasina da katki sundu. TruffleHog 12.737, Kingfisher 14.664 calisir kimlik bilgisi buldu; yalnizca 1.001'i her iki araçta da ortakti. Bu, tespit kapsaminin araca gore degistigini gosteriyor; makale TruffleHog'un Zhipu anahtarlari icin bir dedektoru olmadigini belirtti. Turlere gore en buyuk gruplar Alibaba Cloud AccessKey ciftleri (9.473), YouTube API anahtarlari (3.805), DeepSeek anahtarlari (3.170), Zhipu BigModel anahtarlari (1.489) ve OpenAI anahtarlari (1.348) oldu; GitHub, AWS, Google Cloud ve Google Gemini icin ise daha kucuk sayilar goruldu. Rapor ayrica "buyuk bir kurumsal AI platformuna ait, aktif bir kurum-yoneticisi kimlik bilgisi" buldugunu belirtti ancak platformu aciklamadi. Gitee'de 1.000 depo basina 3,64 calisir kimlik bilgisi dusuyordu; daha onceki yalnizca TruffleHog ile yapilan taramalarda bu oran GitLab icin 3,11, Bitbucket icin 2,39'du. Makale, bu rakamlarin dogrudan karsilastirilamayacagi uyarisini yapti.

Kimler etkileniyor?

Bulut veya AI anahtarlari herhangi bir zamanda public bir Gitee deposunda yer almis her kurum ve gelistirici potansiyel olarak risk altinda. Rapora gore yayin aninda Zimmermann, kimlik bilgilerinden herhangi birinin iptal edilip edilmedigini dogrulamamisti; en cok anahtari sizan saticilara listeler gonderdi ancak tek tek gelistiricilerle iletisime gecmedi ve makale anahtarlarin birileri tarafindan kotuye kullanilip kullanilmadigini belirtmedi.

Ne yapmali?

The Hacker News somut giderme onerileri aktardi. Herhangi bir zamanda public bir Gitee deposunda bulunmus her anahtari sizmis kabul edin; cunku onu silmek veya gecmisi yeniden yazmak iptal etmez. Alibaba Cloud icin yeni bir AccessKey cifti olusturun, uygulamalari tasiyip eskisini devre disi birakin ve silin, beklenmedik ucretleri ve yetkisiz kaynak degisikliklerini kontrol edin, son 90 gunun ActionTrail kayitlarini ve servise ozgu kayitlari inceleyin. Google ve YouTube anahtarlari icin anahtari yenileyin, uygulamalari guncelleyin, eski anahtari silin ve API kisitlamalari ekleyin. OpenAI anahtarlari icin hemen yenileyin ve harcama limiti belirleyin. Daha genel olarak ekipler, yayimlamadan once kendi depolarini sirlar icin taramali ve kimlik bilgilerini ozel sir yoneticilerine tasimali.