EVERYTHING
За даними Thecyberexpress, дослідження Cyble Research and Intelligence Labs (CRIL) демонструють системний виклик для організацій, що інтегрують штучний інтелект у свої продукти. Виявлена практика свідчить про те, що швидкість впровадження AI-технологій значно випереджає розвиток стандартів кібербезпеки всередині розробкових команд.
GitHub як джерело витоку даних
Публічні репозиторії стали основним вектором пошуку секретів через звичку розробників вбудовувати ChatGPT API keys безпосередньо у вихідний код, конфігураційні файли або .env-файли під час інтенсивних циклів розробки. Хоча часто планується видалити ці дані пізніше, вони зберігаються в історії комітів, форках та архівних проєктах. Аналіз CRIL показав, що такі витоки охоплюють JavaScript-застосунки, Python-скрипти, CI/CD пайплайни та конфігурації інфраструктури.
Особливу небезпеку створює те, що автоматизовані сканери індексують ці дані майже в реальному часі. Це скорочує вікно між моментом витоку та експлуатацією ключа до лічених хвилин або годин.
Вразливості у живих продуктах
Окрім репозиторіїв, CRIL виявили близько 3000 вебсайтів, де ключі доступні безпосередньо в продакшн-середовищі. Ключі були вбудовані у JavaScript-бандли або активи фронтенд-фреймворків, що дозволяє будь-кому побачити їх під час перегляду мережевого трафіку. Виявлено два типи ключів:
- sk-proj- — ключі проекту, прив'язані до конкретного середовища та білінгу;
- sk-svcacct- — ключі сервісних акаунтів для бекенд-автоматизації або системної інтеграції.
Обидва типи функціонують як привілейовані токени доступу до послуг інференсу та фінансових ресурсів компанії. Як зазначає Richard Sands, CISO у Cyble: «Ера Штучного Інтелекту наступила — дисципліна безпеки ні. Токени стали новими паролями, і з ними поводяться неналежно».
Основною причиною таких помилок є культура «vibe coding», де пріоритет віддається швидкості створення функцій над базовими практиками безпеки. API-ключі часто сприймаються як звичайні конфігураційні значення, а не критичні секрети продакшну.
Для запобігання таким інцидентам розробникам необхідно використовувати змінні середовища та спеціалізовані сервіси для управління секретами замість жорсткого кодування ключів у вихідному коді.