Truffle Security lanza un programa para revocar 1,4 millones de secretos activos

Truffle Security ha lanzado Secrets Revocation Program, una iniciativa gratuita para ayudar a los emisores de claves API a revocar 1,4 millones de secretos expuestos públicamente que siguen siendo válidos.

La empresa afirma que desde 2022 ha encontrado secretos expuestos en repositorios públicos, paquetes, imágenes de contenedores, conjuntos de datos y aplicaciones. A principios de este año informó que había encontrado 543.000 credenciales válidas en repositorios públicos de GitHub. En una investigación independiente, identificó más de 431.000 secretos de AWS en repositorios de código, historiales de Git, conjuntos de datos, imágenes de Docker, registros y logs de CI.

Según Truffle Security, muchas claves expuestas siguen activas porque sus propietarios no responden a las notificaciones de los investigadores. La empresa afirmó que el 81 % de las claves que notificó el año pasado seguían funcionando seis meses después. También dijo que los investigadores han encontrado 2.655 claves operativas en archivos de configuración de herramientas de programación con IA desde enero de 2025.

El programa utiliza TruffleHog para comprobar si las claves filtradas son válidas y coordinar su revocación con los emisores. Estos pueden proporcionar un endpoint de revocación o recibir las claves verificadas mediante un webhook; Truffle Security afirma que revocará las claves en un plazo de 14 días. Se han incorporado 16 emisores, entre ellos Hugging Face, Notion, Vercel, Resend, RubyGems y Twilio.

Truffle Security señala que Google empezó a inhabilitar automáticamente las claves expuestas de cuentas de servicio de Google Cloud el 16 de junio de 2024. Según la empresa, la proporción de secretos expuestos que seguían activos bajó del 72 % —cuando Google solo avisaba a los propietarios— al 11 % tras la inhabilitación automática. Los clientes pueden excluirse de la revocación automática, por lo que la empresa afirma que no es posible eliminar todas las claves expuestas que siguen siendo válidas.