--- title: "Gitee'de açık depolarda 26 bin 400 geçerli bulut ve yapay zeka kimliği bulundu" url: "https://teknotayf.com/haber/gitee-de-acik-depolarda-26-bin-400-gecerli-bulut-ve-yapay-zeka-kimligi-bulundu" markdown_url: "https://teknotayf.com/haber/gitee-de-acik-depolarda-26-bin-400-gecerli-bulut-ve-yapay-zeka-kimligi-bulundu.md" site: "teknotayf.com" language: "tr" published: "2026-10-29 14:33:15" updated: "2026-10-30 05:57:06" category: "Siber Güvenlik" tags: ["Yapay Zeka","Bulut Güvenliği","Kod Güvenliği","Gitee","Kimlik Sızıntısı"] source: "The Hacker News" --- # Gitee'de açık depolarda 26 bin 400 geçerli bulut ve yapay zeka kimliği bulundu > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/gitee-de-acik-depolarda-26-bin-400-gecerli-bulut-ve-yapay-zeka-kimligi-bulundu > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Bağımsız araştırmacı Ben Zimmermann, Çin merkezli kod barındırma servisi Gitee'de 7,25 milyon açık depoyu taradı ve 26.400'ü hâlâ çalışan bulut ve yapay zeka kimliği tespit etti. En büyük pay 9.473 adet Alibaba Cloud AccessKey çiftine ait olurken YouTube, DeepSeek, Zhipu ve OpenAI anahtarları da listede yer aldı. Araştırmacı, açık depoya yüklenen her anahtarın sızmış kabul edilmesi ve derhal iptal edilmesi uyarısında bulundu. - **Yayın tarihi:** 2026-10-29 14:33 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Yapay Zeka, Bulut Güvenliği, Kod Güvenliği, Gitee, Kimlik Sızıntısı - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/26400-valid-cloud-and-ai-credentials.html) ![Gitee'de açık depolarda 26 bin 400 geçerli bulut ve yapay zeka kimliği bulundu](https://teknotayf.com/assets/uploads/2026/10/8cea38944a37577b7a6b1f7b44fac4ee.jpg) Gitee'de geliştiricilerin açık koda bıraktığı **26.400 geçerli kimlik**, araştırmacının test ettiği sırada hâlâ çalışıyordu. Bu koddan birini kopyalayan herkes kullanabilirdi. Bağımsız araştırmacı Ben Zimmermann, **7,25 milyon açık Gitee deposunu** tarayarak buldu ve sonuçları 28 Ekim'de bildirdi. Çoğu bulut ve yapay zeka hizmetlerine ait anahtarlardan oluşuyordu; en büyük grubu **9.473 Alibaba Cloud AccessKey çifti** oluşturuyordu. Zimmermann, en çok sızan anahtara sahip satıcılara kimlik listesini gönderdi ancak sızıntıyı yapan geliştiricilerle iletişime geçmedi. Yayınladığı sırada bildirdiği kimliklerin iptal edildiğini doğrulamamıştı. Dolayısıyla bir anahtarı açık Gitee deposuna yükleyen herkesin o anahtarın iptal edildiğini varsayamaz. Tarama yaklaşık bir ay sürdü ancak Zimmermann tarihleri vermedi, bu yüzden kimliklerin ne zaman test edildiği belli değil. Kimse tarafından kullanılıp kullanılmadığını da söylemedi. Her depo üzerinde TruffleHog ve Kingfisher adlı iki gizli tarayıcı çalıştırdı. Her ikisi de her kimliği çıkardığı hizmete karşı denedi ve yalnızca çalışanları tuttu. Tarayıcılar her deponun tam commit geçmişini okudu. Geliştirici daha sonra kodu kaldırsa bile anahtar hâlâ bulunup sayılabiliyordu. 26.400 sayısı, bir kimliğin kaç depoda göründüğüne bakılmaksızın bir kez sayıldı. Commit tarihine göre 12.242 kimlik 2025'ten geliyor, toplamın neredeyse yarısı. Bazıları 2000'lerin sonuna dayanıyor. ## Ne ifşa oldu Alibaba Cloud anahtarlarının ardından en büyük gruplar 3.805 YouTube API anahtarı, 3.170 DeepSeek anahtarı, Zhipu'nun BigModel yapay zeka platformu için 1.489 anahtar ve 1.348 OpenAI anahtarıydı. Daha küçük sayıda GitHub, AWS, Google Cloud ve Google'ın Gemini için de bulundu. Zimmermann'a göre kimliklerden biri "önemli bir kurumsal yapay zeka platformu için aktif bir organizasyon-yönetici kimliğiydi". Platformun adını vermedi ve kimliğin erişebileceği konuyu söylemedi. Çalışan bir anahtarın neye izin verdiği hizmete göre değişir. OpenAI'ye göre ele geçirilen bir anahtar, hesabın kotasını sahibinin izni olmadan başka bir kişinin kullanmasına olanak tanır. Bu durum "veri kaybı, beklenmeyen ücretler", aylık kotanın tükenmesi ve API erişiminin kesintiye uğramasına yol açabilir. ![](https://teknotayf.com/assets/uploads/2026/10/f616a2db83e4f8560cc548822f23df36.webp) Google'a göre YouTube API anahtarı, bir projeyi tanımlayan bir Google Cloud API anahtarıdır. API kısıtlaması olmadan böyle bir anahtar, Google Cloud anahtarlarını kabul eden her API ile kullanılabilir. ## Anahtarları depoya gönderdiyseniz ne yapmalı Herhangi bir anahtar daha önce açık bir Gitee deposunda bulunduysa sızmış kabul edilmeli ve sağlayıcıda iptal edilmeli. Anahtarı koddan silmek veya deponun geçmişini yeniden yazmak onu iptal etmez; bunu Truffle Security'nin kurucusu TruffleHog'un yapımcısı da belirtiyor. Alibaba Cloud: Yeni bir AccessKey çifti oluşturun, uygulamalarınızı buna geçirin, ardından eski çifti devre dışı bırakıp silin. Alibaba Cloud'un sızıntı yanıt planına göre beklenmeyen ücretleri ve istemediğiniz oluşturulan veya silinen kaynakları kontrol edin. ActionTrail, anahtarın son 90 güne ait API çağrılarını gösterir ancak OSS ve SLS gibi hizmetlerdeki veri işlemleri her hizmetin kendi günlüklerinde kontrol edilmelidir. Google ve YouTube API anahtarları: Anahtarı döndürün; bu aynı kısıtlamalara sahip yeni bir anahtar oluşturur, uygulamalarınızı buna göre güncelleyin, ardından eski anahtarı silin. Anahtarın yalnızca ihtiyacınız olan API'lerle çalışması için API kısıtlamaları ekleyin. OpenAI: OpenAI'nin tavsiye ettiği gibi anahtarı API Keys sayfasından derhal döndürün ve sızan bir anahtardan kaynaklanan ücretleri sınırlamaya yardımcı olmak için harcama limitleri belirleyin. ## İki tarayıcı, farklı sonuçlar Kingfisher'ı MongoDB yapıyor ve Zimmermann'ın yazısı Kingfisher ekibiyle geliştirildi. Bu taramada TruffleHog 12.737 çalışan kimlik buldu, Kingfisher 14.664 buldu ancak her ikisi de sadece 1.001'ini buldu. Her araç tek başına toplamın yaklaşık yarısını buldu. TruffleHog, Alibaba Cloud anahtarlarının neredeyse tamamını buldu. Kingfisher tüm 1.489 BigModel anahtarını buldu çünkü TruffleHog'un Zhipu anahtarları için bir algılayıcısı yok, Zimmermann yazdı. Tek bir tarayıcıya güvenen ekipler, kullandıkları hizmetlere karşı algılayıcılarını doğrulamalı. ## Gitee ve diğer kod barındırma servisleri Çin Sanayi ve Bilgi Teknolojileri Bakanlığı, Gitee'yi 2020'de ulusal açık kaynak kod barındırma platformunun temeli olarak seçti. Gitee'nin açık API'si sınırlı ve 2021'de sitedeki sızan kimlikleri inceleme girişimi bunun yüzünden vazgeçildi. Gitee'nin oranı, taranan her 1.000 depo başına 3,64 çalışan kimlik; bu, daha önceki GitLab (3,11) ve Bitbucket (2,39) taramalarından daha yüksek. Bu taramalar yalnızca TruffleHog kullanıldı, Zimmermann yazdı. Yalnızca TruffleHog sonuçlarına göre Gitee'nin oranı 1,76; bu sayı Zhipu gibi TruffleHog'un kapsamadığı hizmetleri dışlıyor. Dolayısıyla hangi platformun daha fazla sızıntı yaptığı belli değil. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/gitee-de-acik-depolarda-26-bin-400-gecerli-bulut-ve-yapay-zeka-kimligi-bulundu Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.