중국 Gitee 725만 개 저장소에서 실제 작동하는 자격증명 2만 6,400개 발견
26,400 live credentials found scanning 7.25M repos on China's Gitee
보안 연구자 Ben Zimmermann이 중국 최대 Git 플랫폼 Gitee의 공개 저장소 725만 개를 TruffleHog와 Kingfisher로 동시 스캔해 실제 인증까지 통과한 자격증명 2만 6,400개를 찾아냈다. Alibaba Cloud AccessKey가 가장 흔해 저장소 766개당 1건꼴이었고, DeepSeek·OpenAI·Zhipu 같은 AI 서비스 키와 대기업 조직 관리자 권한도 포함됐다. 저장소당 밀도는 GitLab·Bitbucket을 웃돈다.
서구 기업들은 보통 버그 바운티 프로그램이나 접근 가능한 보안 채널을 갖추고 있다. 대부분의 중국 기업은 그렇지 않아, 유출된 자격증명에 명확한 해결 경로가 없다.
- gosen
격차가 그렇게 작다는 게 놀랍네요! 1천 개 저장소당 3.64 대 3.11이라니
스캐닝 파트너십이 전혀 없는 Gitee가 훨씬 더 심할 거라고 예상했는데..
push protection이 실제로 그 수치를 얼마나 바꾸는지 알려면 그 표에 GitHub도 넣어서 보고 싶네요
- nitroedge
그래서 누군가 이런 자격증명 몇 개를 써서 활성 상태인 동안 공짜로 AI를 즐기면 어떻게 되나요? 그냥 궁금해서요, 지금은 이게 형사처벌 대상인지 그리고 실제로 어떤 처벌이 있었는지요?
예전에 공개로 열려 있던 Ollama 인스턴스들을 나열하면서 각각 옆에 초당 토큰 처리량을 적어둔 사이트가 있었던 게 기억나네요.
- dorianmariecom
github나 gitlab 등에서도 마찬가지죠