Pesquisador encontra 26,4 mil credenciais válidas de cloud e IA expostas em repositórios públicos do Gitee

O pesquisador independente Ben Zimmermann varreu 7,25 milhões de repositórios públicos do Gitee, plataforma chinesa de hospedagem de código, e publicou os resultados em 28 de outubro de 2026. Rodou o TruffleHog e o Kingfisher sobre todo o histórico de commits e testou cada credencial contra o serviço emissor, mantendo só as que funcionavam. Resultado: 26.400 credenciais válidas, contadas uma única vez mesmo quando apareciam em vários repositórios. A maior fatia é de pares de AccessKey da Alibaba Cloud (9.473), seguida por chaves de API do YouTube (3.805), DeepSeek (3.170), BigModel da Zhipu (1.489) e OpenAI (1.348). Também surgiram chaves de GitHub, AWS, Google Cloud e Gemini, além de uma credencial de administrador de organização de uma grande plataforma de IA, que ele não nomeou.

Há ressalvas importantes. Zimmermann não informou as datas do escaneamento (que durou cerca de um mês), não disse se alguém usou as chaves e não confirmou revogações na publicação. Ele avisou os fornecedores com mais chaves expostas, mas não contatou os desenvolvedores. Como a varredura lê o histórico completo, uma chave apagada do código ainda aparece. Segundo a Truffle Security, apagar a chave ou reescrever o histórico não a revoga. Quase metade (12.242) veio de commits de 2025, e algumas datam do fim dos anos 2000.

Os escâneres divergiram bastante: o TruffleHog achou 12.737 credenciais válidas, o Kingfisher 14.664, e só 1.001 apareceram nos dois. O TruffleHog não tem detector para as chaves da Zhipu. A taxa do Gitee (3,64 por mil repositórios) supera as de GitLab (3,11) e Bitbucket (2,39), mas aquelas varreduras usaram só TruffleHog, então a comparação não mostra qual plataforma vaza mais. O Kingfisher é da MongoDB, que participou do post.

O assunto já vinha no radar do CEVIU. Em 3 de agosto de 2026, a matéria "Vazamento no Hugging Face expõe 221 mil credenciais e acende alerta sobre segurança em dados de IA" mostrou 221.303 credenciais ativas em datasets públicos. Em 5 de outubro de 2026, "Meio milhão de credenciais expostas e sem revogação, aponta análise" tratou de 543.699 credenciais ativas no GitHub, algumas de 2009. Agora o Gitee entra na lista, com o mesmo padrão: segredos antigos, ainda válidos, achados via histórico de commits. A diferença é a ênfase em chaves de serviços chineses de cloud e IA, como Alibaba Cloud, DeepSeek e Zhipu.

Para quem opera segurança, a leitura é que o vazamento de segredos não é problema de uma plataforma só. Aparece no GitHub, no Hugging Face, em sites e agora no Gitee. Se sua equipe usa um único escâner, o caso mostra o risco: cada ferramenta viu cerca de metade do total. Vale checar se os detectores cobrem os serviços que você realmente usa e tratar qualquer chave que passou por repositório público como comprometida, com revogação no provedor.