Peneliti independen Ben Zimmermann melaporkan pada 28 Oktober 2026 bahwa ia menemukan 26.400 kredensial yang masih berfungsi di repositori publik Gitee, platform hosting kode asal Tiongkok. Ia memindai 7.256.531 repositori selama sekitar satu bulan. Hasilnya dipublikasikan di blog MongoDB, dan The Hacker News meliputnya sehari kemudian.
Apa yang ditemukan
Zimmermann memakai dua pemindai rahasia, TruffleHog dan Kingfisher, untuk membaca seluruh riwayat commit setiap repositori. Setiap kredensial diuji langsung ke layanan penerbitnya, jadi angka 26.400 hanya mencakup kunci yang terbukti aktif dan dihitung sekali meski muncul di banyak repositori. Kingfisher menemukan 14.664 kredensial, TruffleHog 12.737, dan 1.001 ditemukan oleh keduanya.
Terbanyak adalah pasangan AccessKey Alibaba Cloud (9.473), disusul kunci API YouTube (3.805), DeepSeek (3.170), Zhipu BigModel (1.489), dan OpenAI (1.348). Ada pula kunci GitHub, AWS, Google Cloud, dan Google Gemini dalam jumlah lebih kecil. Satu temuan disebut sebagai kredensial admin organisasi aktif milik platform AI perusahaan besar, tanpa menyebut nama platformnya. Sebanyak 12.242 kredensial, hampir separuhnya, berasal dari commit tahun 2025, dan sebagian berusia lebih dari satu dekade.
Zimmermann mengirim daftar kredensial ke vendor dengan paparan terbesar. Ia tidak menghubungi para pengembang pemilik repositori, dan belum memastikan apakah kunci-kunci itu sudah dicabut. Ia juga tidak menyatakan ada pihak lain yang sudah menyalahgunakannya. Angka kepadatan kebocoran Gitee (3,64 per 1.000 repositori) tidak bisa langsung dibandingkan dengan GitLab dan Bitbucket, karena pemindaian pembandingnya hanya memakai satu alat. Dengan TruffleHog saja, Gitee berada di 1,76 per 1.000.
Langkah yang perlu Anda ambil
Anggap setiap kunci yang pernah masuk repositori publik sudah bocor. Menghapus file atau menulis ulang riwayat Git tidak mencabut kunci, sehingga pencabutan harus dilakukan di penyedia layanan. Untuk Alibaba Cloud, buat pasangan AccessKey baru, pindahkan aplikasi ke kunci itu, lalu nonaktifkan dan hapus yang lama. Periksa tagihan yang tidak wajar dan perubahan sumber daya yang tidak dikenal; ActionTrail menyimpan log panggilan API 90 hari terakhir.
Untuk kunci Google dan YouTube, rotasi kunci, perbarui aplikasi, hapus kunci lama, lalu batasi kunci hanya ke API yang dipakai. Untuk OpenAI, rotasi kunci dari halaman API Keys dan pasang batas pengeluaran. Jika tim Anda memakai pemindai rahasia di CI, pastikan detektornya mencakup layanan yang Anda pakai: TruffleHog tidak punya detektor untuk kunci Zhipu, sementara Kingfisher menemukan seluruh 1.489 kunci tersebut. Pindai juga riwayat commit, bukan hanya isi cabang terbaru.
Bagi pengembang Indonesia yang memakai layanan cloud dan AI asal Tiongkok atau yang menyalin proyek dari Gitee, pemeriksaan ini layak dilakukan sekarang, sebelum tagihan atau akses tak dikenal muncul lebih dulu.
Sumber: The Hacker News dan laporan Ben Zimmermann di blog MongoDB. Gambar: The Hacker News.