API 金鑰
該標籤下有 4 篇文章
OpenCode Console 資安事件（2026年10月，1.4%的 Console 使用者）：AI 供應商 API 金鑰可能外洩，以及該怎麼做
2026年10月17日，開源 AI 程式設計代理 OpenCode 在其官方 X 帳號上表示，前一天晚上發生了一起與大規模蒸餾攻擊有關的資安事件，影響了1.4%的 OpenCode Console 使用者。公司表示，已於當天上午寄信給所有受影響使用者，沒有收到信的使用者未受影響，受影響使用者是連結了外部供應商的部分使用者。公司表示，事件仍在進行中，無法透露更多細節，並正與相關 AI 供應商合作。根據新聞媒體對該信件與公司說法的報導，使用者儲存在 Console 工作區中的外部 AI 供應商 API 金鑰，可能已透過一套舊系統遭暴露，受影響使用者被告知直接到各供應商撤銷並更換這些金鑰。一位共同創辦人表示，開源應用程式與命令列工具未受影響。本站觀點：如果您收到了信，或者您曾在 OpenCode Console 中連結 AI 供應商金鑰但不確定是否受影響，請今天就在各供應商的主控台撤銷它們，並檢查10月17日以來的用量與帳單。
網站建置服務 Studio 遭未經授權存取:全體使用者資料與表單送出內容可能外洩——表單填寫者與網站管理者該怎麼做
2026年10月16日,Studio Inc. 公布,第三方對其使用的雲端環境進行未經授權存取,網站建置服務 Studio 所有註冊客戶的資料可能外洩。該第三方利用 Studio 部分功能的弱點進入該環境,並使其資料可從外部取得。目前確認的未經授權存取期間為2026年9月30日至10月1日(日本時間);該公司於10月13日在內部調查中發現,並於10月13日至14日完成弱點修補與路徑封閉。可能外洩的資料包括帳號資料(使用者名稱、電子郵件地址、雜湊後的密碼等)、設計編輯器與 CMS 的內容、以 Studio 建置之網站所送出的表單內容、即時預覽 URL、API 整合中登錄的外部服務 API 金鑰與權杖、密碼保護頁面的密碼,以及 Webhook 通知 URL。部分加密儲存的資料也可能被讀取,因為解密所需的金鑰在同一次存取中被讀取。該公司尚未確認第三方是否實際取走資料,但視同已被取走處理。受影響人數與是否發生濫用仍在調查中。以 Studio 建置網站的企業與組織也表示,經由其表單送出的個人資料可能外洩:Luup 為 21,368 筆、Link-U Group 為 7,663 筆、TRUSTART 約 1,440 筆、埼玉縣的埼玉綠森博物館為 162 筆。日本數位廳於10月22日表示(Studio Inc. 於10月16日向其通報),該廳網站聯絡表單在2021年5月至2023年3月間填入的洽詢內容(五個類別,最多的類別達 8,833 筆;合計最多 13,323 筆,為本站加總)以及 35 筆 Studio 帳號資料可能外洩。關於向日本個人資料保護委員會(PPC)通報,Studio Inc. 於10月17日先請表單使用者暫緩個別通報,10月20日表示與 PPC 協商後,客戶可選擇個別通報,或與 Studio 共同通報(無論何者,是否通知當事人仍由客戶自行決定)。10月19日,該公司在說明頁面補充:即使是業務推銷、垃圾訊息或令人擔憂安全的回覆,只要含有可識別個人的資訊,原則上仍須通知當事人。本站結論:若您曾在以 Studio 建置的網站送出表單,請查看該網站管理者的公告,並且不要點開提及您所送內容的訊息中的連結。網站管理者請依 Studio Inc. 所示順序更改密碼並更換整合金鑰。
用 gitleaks 在提交前攔下機密：在 push 之前堵住 API 金鑰洩漏
機密無法在「外洩之後再刪除」。一旦提交，機密就會留在 Git 歷史裡；一旦 push，就必須當作已外洩，撤銷並輪換金鑰。gitleaks 是一款免費工具，用正規表示式和熵掃描整個儲存庫和提交歷史，找出 API 金鑰、私鑰和 token。防守的核心是兩道檢查：在 push 之前於本機攔下的 pre-commit 掛鉤，以及抓住漏網之魚的 CI/cron。.gitignore 只能防止新的追蹤，無法檢出，所以仍然需要掃描工具。
安全超入門：.env 和 API key 到底危險在哪、又該怎麼守
第一步。先理解 .env 和 API key 洩漏後會發生什麼（別人以你的身分使用服務，帳單算在你頭上），再從今天起做好這 4 件事：『不公開、不提交、洩漏就全部更換、定期自查』。