NoticiasNews

26,400 credenciales de nube e IA todavía válidas aparecen en repositorios públicos de Gitee26,400 still-valid cloud and AI credentials found in public Gitee repositories

2026-10-30

El investigador independiente Ben Zimmermann reportó el 28 de octubre de 2026 que escaneó 7.25 millones de repositorios públicos de Gitee y encontró 26,400 credenciales que todavía funcionan, según The Hacker News del 29 de octubre. Casi la mitad (12,242) provienen de confirmaciones de código de 2025, y algunas datan de finales de la década de 2000.

Qué claves aparecieron

  • 9,473 pares de claves de acceso de Alibaba Cloud.
  • 3,805 claves de API de YouTube.
  • 3,170 de DeepSeek, 1,489 de Zhipu BigModel y 1,348 de OpenAI.
  • Cantidades menores de GitHub, AWS, Google Cloud y Google Gemini, además de una credencial activa de administrador de organización de una plataforma empresarial de IA.

El investigador envió listas a los proveedores con más claves expuestas, pero no contactó a los desarrolladores, y al momento de la publicación no había confirmado que alguna se hubiera revocado. Tampoco dijo si alguien más las usó. Las tasas son comparables a las de otras plataformas: 3.64 credenciales por cada 1,000 repositorios en Gitee, frente a 3.11 en GitLab y 2.39 en Bitbucket, aunque el artículo advierte que esas cifras no permiten concluir cuál plataforma filtra más.

Recomendaciones

Toda clave que haya estado en un repositorio público debe considerarse expuesta. Borrarla o reescribir el historial no la revoca: hay que crear una nueva, cambiar las aplicaciones, deshabilitar la anterior y revisar cargos y cambios no autorizados. Conviene fijar límites de gasto y restringir cada clave a las API que necesita. Además, un solo escáner de secretos puede dejar huecos: en este estudio, solo 1,001 hallazgos fueron detectados por ambas herramientas.

Un trabajo que cae en soporte y TI

Rotar claves es tarea de muchas áreas a la vez: quién usa cada clave, qué sistema se rompe al cambiarla y quién avisa a los clientes si un servicio se interrumpe. Si no hay inventario ni seguimiento, el trabajo se pierde en correos y chats. Con Servigo365, TI y soporte pueden abrir un ticket por cada clave o sistema, asignarlo, fijar un SLA y conservar el historial de quién rotó qué y cuándo. Y en las sucursales, Nexturno permite seguir midiendo turnos y tiempos de espera cuando un cambio de credenciales afecta temporalmente un sistema de atención. Es orden operativo, no magia: base para cualquier decisión posterior.

Fuente: The Hacker News (29 de octubre de 2026), con datos del investigador Ben Zimmermann.

Independent researcher Ben Zimmermann reported on October 28, 2026 that he scanned 7.25 million public Gitee repositories and found 26,400 credentials that still work, according to The Hacker News on October 29. Nearly half (12,242) come from 2025 commits, and some date back to the late 2000s.

Which keys turned up

  • 9,473 Alibaba Cloud access key pairs.
  • 3,805 YouTube API keys.
  • 3,170 for DeepSeek, 1,489 for Zhipu BigModel and 1,348 for OpenAI.
  • Smaller numbers for GitHub, AWS, Google Cloud and Google Gemini, plus one active organization-admin credential for an enterprise AI platform.

The researcher sent lists to the vendors with the most exposed keys but did not contact the developers, and at publication he had not confirmed that any had been revoked. He also did not say whether anyone else used them. Rates are comparable to other platforms: 3.64 credentials per 1,000 repositories on Gitee versus 3.11 on GitLab and 2.39 on Bitbucket, though the article warns these figures do not show which platform leaks more.

Recommendations

Treat any key that was ever in a public repository as exposed. Deleting it or rewriting history does not revoke it: create a new one, switch apps over, disable the old one and check for unexpected charges and unauthorized changes. Set spend limits and restrict each key to the APIs it needs. A single secret scanner can also leave gaps: in this study only 1,001 findings were detected by both tools.

A job that lands on support and IT

Rotating keys involves many teams at once: who uses each key, which system breaks when it changes and who tells customers if a service is interrupted. Without an inventory and follow-up, the work gets lost in emails and chats. With Servigo365, IT and support can open a ticket per key or system, assign it, set an SLA and keep the history of who rotated what and when. And at branches, Nexturno lets teams keep measuring queues and wait times when a credential change temporarily affects a service system. It is operational order, not magic: a base for any later decision.

Source: The Hacker News (October 29, 2026), citing researcher Ben Zimmermann.

← Volver al blog← Back to blog