Cuando se habla de claves de API filtradas se piensa en GitHub, pero hay otra plataforma de código enorme donde casi nadie mira. Un investigador independiente escaneó toda la superficie pública de Gitee, la mayor plataforma Git de China, y encontró 26.400 credenciales que seguían funcionando al probarlas, muchas de ellas de servicios de IA.
El estudio: método y alcance
Ben Zimmermann, investigador independiente, publicó el 28 de octubre los resultados en el blog técnico de MongoDB, en colaboración con el equipo de su escáner Kingfisher. The Hacker News lo cubrió el 29. Enumeró 7.256.531 repositorios públicos únicos de Gitee, partiendo de 1.704.759 nombres de usuario, y clonó cada uno (con todo su historial de commits) para pasar dos escáneres a la vez, TruffleHog y Kingfisher, que además prueban cada candidato contra la API del proveedor. Solo cuentan las credenciales activas al momento del escaneo, deduplicadas por valor.
Corrió unos 350 contenedores en paralelo durante aproximadamente un mes y costó 3.097,64 dólares, cubiertos con un crédito de 5.000 dólares de Modal. Dato útil para quien evalúa riesgos: es un ejercicio barato, al alcance de cualquiera con el mismo método, incluidos atacantes.
Las cifras
Según el estudio, aproximadamente 1 de cada 766 repositorios de Gitee tenía una credencial de Alibaba Cloud válida. La tasa global es de 3,64 credenciales por cada mil repos, frente a 3,11 en GitLab y 2,39 en Bitbucket, aunque esas dos cifras vienen de escaneos previos de Truffle Security hechos solo con TruffleHog, así que la comparación no es exacta. También hallaron una credencial de administrador de organización de una plataforma de IA empresarial importante, sin que ni el estudio ni THN nombren cuál.
TruffleHog vs Kingfisher: el verdadero hallazgo técnico
Ningún escáner por sí solo vio todo: TruffleHog reportó 12.737, Kingfisher 14.664 y solo 1.001 fueron detectadas por ambos. TruffleHog dominó las claves de Alibaba Cloud (9.428 contra 993 de Kingfisher); Kingfisher dominó los servicios de IA: DeepSeek (2.940 contra 230), OpenAI (1.198 contra 150) y Zhipu (1.489 contra cero, ya que según THN TruffleHog no tiene detector para esas claves). El motivo es sencillo: cada herramienta cubre los proveedores que sus autores priorizaron.