Scanners de secrets : 1 001 clés vues par les deux

Ce qui se passe

Le chercheur indépendant Ben Zimmermann a publié le 28 octobre le résultat d'un scan d'environ un mois sur 7,25 millions de dépôts publics Gitee, la forge chinoise. Il a utilisé TruffleHog et Kingfisher sur l'historique complet de chaque dépôt. Les deux outils essaient chaque clé auprès du service qui l'a émise et ne comptent que celles qui marchent.

Bilan : 26 400 identifiants valides, comptés une seule fois chacun.

Quelques-unes visent GitHub, AWS, Google Cloud et Gemini. L'une serait une clé d'administration d'organisation sur une grande plateforme d'IA, non nommée. 12 242 datent de 2025 d'après leur commit, soit presque la moitié.

Pourquoi ça compte hors de Gitee

Le résultat le plus utile n'a rien de chinois :

Chacun passe donc à côté d'environ la moitié du total. Une partie de l'écart tient à la couverture : TruffleHog repère presque toutes les clés Alibaba Cloud mais n'a pas de détecteur Zhipu, alors que Kingfisher trouve toutes les clés BigModel.

À lire avec prudence. MongoDB édite Kingfisher, et le billet a été préparé avec cette équipe. Les dates du scan ne sont pas publiées : rien ne dit quand ces clés ont été testées, si elles marchent encore ou si elles ont servi. Les éditeurs les plus touchés ont reçu la liste de leurs clés, pas les développeurs, et aucune révocation n'était confirmée à la publication. Le billet original n'ayant pas pu être relu, cette fiche s'appuie sur le compte rendu de The Hacker News.

Comparer les forges n'aurait pas de sens : Gitee affiche 3,64 clés valides pour 1 000 dépôts avec deux outils, ou 1,76 avec TruffleHog seul, contre 3,11 pour GitLab et 2,39 pour Bitbucket mesurés avec TruffleHog seul.

Comment s'y prendre

1. Listez les services dont vous détenez des clés, puis vérifiez que votre scanner a un détecteur pour chacun. Sinon, ajoutez-en un second.

2. Analysez tout l'historique, pas seulement la branche courante :

   trufflehog git file://. --only-verified

3. Toute clé passée par un dépôt public se révoque chez le fournisseur. Ni la retirer du code ni réécrire l'historique ne l'invalide.

   • Alibaba Cloud : nouvelle paire, bascule des applications, puis désactivation et suppression de l'ancienne. ActionTrail couvre 90 jours d'appels ; OSS et SLS se contrôlent dans leurs propres journaux.
   • Google et YouTube : rotation, puis restriction de la clé aux seules API utiles.
   • OpenAI : rotation immédiate et plafond de dépenses.

Source : The Hacker News, 29 octobre 2026. Source en anglais. Étude citée par l'article : billet de Ben Zimmermann chez MongoDB.