35% 已暴露的应用程序接口密钥仍然有效，存在重大安全风险

Nightfall AI 的研

云和 SaaS 环境中秘密蔓延的隐患

更令人担忧的是，在发现的所有 API 密钥中，有 35% 仍处于活动状态，这构成了权限提升攻击、数据泄露、数据泄露等重大风险。许多被发现的秘密已经暴露了几个月。

采用现代云、SaaS 和 GenAI 环境的公司才刚刚开始发现秘密蔓延的隐藏风险，当 API 密钥或密码等敏感信息传播到不属于它们的应用程序、文件和消息时，就会发生这种情况。

在 Slack、GitHub、Jira 和 Google Drive 等应用程序中，威胁行为者可以轻松找到并利用公司机密，以毁灭性的程度危害组织，正如我们在《纽约时报》和 Sisense 等主要品牌的众多备受瞩目的事件中看到的那样。Nightfall的研究旨在揭示这一挑战，并帮助公司了解他们的秘密在哪里，以及他们如何清理他们的技术堆栈。

在其研究中，Nightfall 扫描了数百 TB 的数据，寻找过去一年在云系统和应用程序之间共享的敏感秘密——密码、API 密钥、数据库连接字符串和加密密钥，并发现了超过 171,000 个秘密暴露在 SaaS 应用程序、GenAI 工具、电子邮件和端点上。

虽然 GitHub 的秘密蔓延量最高，但 54% 的暴露秘密存在于其他开发人员和生产力应用程序中，包括 Confluence（每 100 名员工 134 个）、Zendesk（110 个）、Slack（64 个）和 Google Drive（34 个）。这是值得注意的，因为对众多不同 SaaS 平台上的敏感数据的可见性对公司来说是一个重大挑战。

密码是最常暴露的秘密

密码占检测到的秘密的一半以上（59%），API密钥紧随其后（39%）。为了给组织提供更具可扩展性的指标，这相当于每周每 100 名员工检测到大约 8 个密码和 7 个 API 密钥。在企业层面，这相当于每年散布数千个秘密。

虽然 Nightfall 发现密码和 API 密钥的分布位置略有不同，但 GitHub 是最有可能找到这两类秘密的地方，每年每 100 名员工共享 339 个秘密。Confluence 和 Zendesk 还拥有大量共享的秘密，每年每 100 名员工拥有超过 100 个秘密。

“秘密蔓延是一个普遍存在且始终存在的问题，公司现在必须解决，”Nightfall 首席技术官 Rohan Sathe 说。“幸运的是，它很容易预防。对于安全团队来说，重要的是要知道正在共享哪些秘密以及在哪里共享这些秘密，以便采取行动并最大限度地减少秘密暴露。

打击秘密蔓延

持续监控和自动修复可以显著减少识别和缓解与机密蔓延相关的风险所需的时间。Nightfall 还建议公司实施端到端加密，使用密码管理器并定期轮换 API 密钥，以避免数据泄露和违规行为。研究人员还强调了教育员工了解分享秘密的最安全方式的重要性，并全年执行这些教义，而不是仅进行年度安全培训。

究显示，密码和 API 密钥等秘密最常出现在 GitHub 中，每年每 100 名员工泄露的秘密总数接近 350 个。