API 密钥
该标签下有 5 篇文章
OpenCode Console 安全事件（2026 年 10 月，1.4% 的 Console 用户）：AI 服务商 API 密钥可能已暴露，以及该怎么做
2026 年 10 月 17 日，开源 AI 编程智能体 OpenCode 在其官方 X 账号上表示，前一天晚上发生了一起与大规模蒸馏攻击有关的安全事件，影响了 1.4% 的 OpenCode Console 用户。公司表示，已于当天上午向所有受影响用户发送邮件，没有收到邮件的用户未受影响，受影响用户是关联了外部服务商的部分用户。公司表示，事件仍在进行中，无法透露更多细节，并正在与相关 AI 服务商合作。根据对该邮件及公司说法的新闻报道，用户保存在 Console 工作区中的外部 AI 服务商 API 密钥可能已通过一个旧系统被暴露，受影响用户被告知直接到各服务商处吊销并更换这些密钥。一位联合创始人表示，开源应用和命令行工具未受影响。本站观点：如果您收到了邮件，或者您在 OpenCode Console 中关联过 AI 服务商密钥但不确定是否受影响，请今天就在各服务商的控制台中吊销它们，并检查 10 月 17 日以来的用量和账单。
Studio 网站构建工具遭未授权访问：全部用户数据和表单提交内容可能泄露——表单提交者和网站所有者应该怎么做
2026年10月16日，Studio Inc. 宣布，第三方对其使用的云环境进行了未授权访问，在其网站构建工具 Studio 上注册的全部客户的数据可能已泄露。第三方利用 Studio 部分功能中的漏洞访问了该环境，并使其数据可从外部获取。已确认的未授权访问期间为2026年9月30日至10月1日（日本时间）；公司在10月13日的内部调查中发现此事，并于10月13日至14日完成漏洞修复并封堵了入侵途径。可能泄露的数据包括：账户数据（用户名、电子邮件地址、哈希化的密码等）、设计编辑器和 CMS 的内容、使用 Studio 搭建的网站所提交的表单内容、实时预览 URL、在 API 集成中注册的外部服务的 API 密钥和令牌、密码保护页面的密码，以及 Webhook 通知 URL。部分以加密形式保存的数据也可能被读取，因为解密所需的密钥在同一次访问中被读取。公司尚未确认第三方是否实际获取了数据，但按已被获取来处理。受影响的人数以及是否发生了滥用，正在调查中。使用 Studio 搭建网站的公司和组织也表示，通过其表单发送的个人数据可能已泄露：Luup 为 21,368 条，Link-U Group 为 7,663 条，TRUSTART 约 1,440 条，埼玉县的埼玉绿森博物馆为 162 条。日本数字厅在 Studio Inc. 于10月16日向其报告此事后，于10月22日表示，2021年5月至2023年3月期间在其网站联系表单中输入的咨询内容（五个类别，最大类别最多 8,833 条；合计最多 13,323 条，为本站汇总）以及 35 条 Studio 账户记录可能已泄露。关于向日本个人信息保护委员会（PPC）报告，Studio Inc. 于10月17日先请表单使用者暂缓单独报告，随后于10月20日表示，在与 PPC 协商后，客户可以选择单独报告，或与 Studio 联合报告（无论哪种方式，是否通知受影响的个人仍由客户自行决定）。10月19日，公司在其说明页面中补充：即使是推销、垃圾信息或令人担心安全的回复，只要包含可识别个人的信息，原则上也需要通知本人。本站的结论：如果你在使用 Studio 搭建的网站上提交过表单，请查看该网站所有者的通知，不要打开提到你所提交内容的消息中的链接。网站所有者应按 Studio Inc. 给出的顺序更改密码并轮换集成密钥。
公开在 GitHub 上的 543,699 个凭据仍然有效（2026年调查）：为什么要吊销而不是删除，开发者该做什么
一家销售密钥扫描工具的安全公司，检查了为训练 LLM 而收集的约2.24亿个公开仓库的快照，报告称有543,699个凭据在2026年7月下旬仍能通过认证。自暴露以来的时间中位数为784天。npm 和 GitHub 令牌几乎全部失效，而数据库连接字符串有75–88%仍然可用。有效凭据中超过199,000个是在 GitHub 默认开启推送保护之后出现的，超过一半的有效凭据属于推送保护默认不拦截的类型。本站的结论：推送到公开仓库的凭据，无法通过删除文件或改写历史收回，所以要先吊销。泄露的凭据是否会被自动吊销，取决于签发方；连接字符串和许多 API 密钥，在你停用之前一直有效。
用 gitleaks 在提交前拦下密钥：在 push 之前堵住 API 密钥泄露
密钥无法『泄露后再删』。一旦被提交，密钥就会留在 Git 历史里，被 push 后就要按已泄露处理，吊销并轮换密钥。gitleaks 是一款免费工具，用正则和熵对整个仓库和提交历史进行扫描，检出 API 密钥、私钥和 token。防守的关键是两处检查：用 pre-commit 钩子在本地 push 前拦住，再用 CI/cron 抓住漏掉的。.gitignore 只能阻止新的追踪，无法检出，所以仍然需要扫描器。
安全超入门：.env 和 API key 到底危险在哪、又该怎么守
第一步。先理解 .env 和 API key 泄露后会发生什么（别人以你的身份使用服务，费用记在你的账上），再从今天起做好这 4 件事：『不公开、不提交、泄露就全部更换、定期自查』。