Vercel amplia varredura de tokens expostos em mais fontes públicas com apoio da Truffle Security

A Vercel firmou parceria com a Truffle Security para ampliar a detecção e a revogação automáticas de tokens da Vercel expostos publicamente. A Truffle reporta vazamentos em GitHub, GitLab, Docker, npm, PyPI, Hugging Face, APKs de Android e Firefox Add-ons. Segundo a Vercel, centenas de tokens reportados pela empresa já foram revogados.

Há também um scanner separado, da própria Vercel, que agora verifica cada novo dataset mensal do Common Crawl (páginas públicas da web) e revoga automaticamente os tokens da Vercel que encontrar. A motivação citada é evitar acesso não autorizado aos projetos e custos inesperados com serviços como Vercel Sandbox e Vercel AI Gateway. Quem tiver um token revogado recebe um email explicando o motivo. Para criar tokens, definir escopos e gerenciá-los, a fonte indica a documentação de access tokens.

A Truffle Security já aparecia na cobertura do CEVIU. Em 3 de agosto de 2026, o CEVIU noticiou o "Mega Vazamento de Credenciais em Dados de Treinamento de IA no Hugging Face Acende Alerta", em que a empresa encontrou 221.303 credenciais ativas e únicas ao escanear 7,6 petabytes de datasets públicos do Hugging Face. O Hugging Face agora está na lista de fontes da parceria com a Vercel. Em 20 de abril de 2026, o CEVIU também noticiou "Vercel Confirma Invasão e Investiga Impacto em Clientes", com invasores alegando vender tokens. A matéria atual não liga os dois episódios, então não dá para afirmar relação entre eles.

Para quem opera projetos na Vercel, isso funciona como uma segunda camada de proteção contra o erro clássico de commitar um token ou publicá-lo num pacote. A leitura prática: a revogação automática reduz o prejuízo, mas não substitui escopos mínimos e rotação. Se o token alimenta pipelines com Sandbox ou AI Gateway, vale ter o email de contato da conta monitorado, porque uma revogação pode derrubar um deploy ou uma integração sem aviso prévio no seu lado.