AI巨头在GitHub意外泄露密码与数字密钥的安全警示

事件概述

全球多家顶尖人工智能公司正在犯一个简单但危险的错误——在GitHub这个每日被数百万开发者使用的代码共享网站上，意外公开了他们的密码和数字密钥。

Wiz的安全研究人员调查了50家领先的AI公司，发现其中65%的企业意外在网络上暴露了高度敏感信息。被泄露的信息不仅包括普通密码，还包含能够访问内部系统、训练数据甚至私有AI模型的API密钥、令牌和其他凭证。

研究人员不仅检查了AI公司在GitHub上的主要公共项目，还审查了代码的删除副本（称为"forks"）、代码片段（“gists”）、工作流日志和文件的过往版本。通过这项调查，他们发现许多公司都忽略了基本的安全措施，意外暴露了本应保密的敏感信息。

在多个案例中，泄露的密钥和令牌实际上可用于访问公司系统——包括Eleven Labs、LangChain和Hugging Face等流行AI平台。据研究人员称，在他们尝试提醒受影响公司的近半数情况下，没有得到任何回应，问题仍然未解决。

受影响的公司总估值超过4000亿美元，包括Anthropic（Claude的制造商）、Glean和Crusoe Energy等知名企业。

与许多网络安全问题一样，这个问题的根源在于人为错误。当程序员编写代码时，他们经常需要包含密码以确保程序正常运行。但当软件工程师在公开分享代码前忘记删除密码时，问题就出现了。

解决这个问题变得更加复杂，因为密钥并不总是显而易见。它们可能隐藏在已删除的文件（实际上并未真正删除）、公司员工的个人账户、早已被遗忘的旧代码版本、隐藏注释和文档中。而且，正如研究人员发现的那样，许多AI初创公司缺乏向它们报告问题的适当机制。

如果黑客成功访问这些公司的系统，他们可以：

AI公司应该：