GitHub 機密外洩年增百分之 34！別讓過期金鑰成為駭客後門—從機密管理走向身分治理

針對上述 GitGuardian 報告所揭露的數據，長期專注於特權存取與身分安全防護的國際領導大廠 SSH Communications Security 指出，這些數字反映的不只是開發流程的疏漏，更是企業在面對「非人身分（NHIs）」時普遍存在的架構與治理盲點：

1. 外洩熱區不在外部，而在「內部協作工具」

多數人以為程式碼外洩只會發生在公開的 GitHub 上，但事實上，企業內部儲存庫（Internal Repositories）含有寫死機密的機率是公開儲存庫的 6 倍。更值得警惕的是，報告顯示有高達 28% 的機密外洩根本不在原始碼內，而是散落在 Slack、Teams、Confluence 等內部協作與通訊平台上，這類管道通常被視為「內部安全信任區」，因而缺乏嚴格防護，一旦被滲透往往更具破壞性。

2. 「只偵測不修復」形同為攻擊者標記可用後門

報告中最令人擔憂的數據在於：2022 年就已被偵測出外洩的機密中，至今仍有 64% 依然有效運作！ 換句話說，外洩長達四年之久的金鑰，企業仍未進行撤銷或輪替，SSH 專家特別提醒，若企業的資安防禦只做到「掃描與發現」，卻沒有落實自動化撤銷與修復機制，無異於直接告訴潛伏的攻擊者「哪一把鑰匙目前還能開門」。

3. 傳統「保險箱思維」已無法應對動態 AI 工作負載

過往傳統的機密管理方式，是將「長期有效（Long-lived）的靜態金鑰」鎖進密碼庫（Vault）中，如果把存取權限比喻成「實體鑰匙」，傳統做法就像是複製了成千上萬把永久鑰匙放在保險箱裡；但隨著 AI 服務與臨時工作負載（Ephemeral Workloads）每天動態增減，企業根本無法掌握誰手上拿著哪一把鑰匙。

面對龐大的機器身分，SSH 提醒企業資安決策者：防禦焦點不能再僅僅停留在「我們的機密存放在哪裡？」，而是必須進一步釐清：「環境中存在哪些機器身分？由誰負責？它們被授權存取什麼？這項權限應該維持多久？」

隨著 AI 技術深入企業營運核心，資安邊界已從傳統的「人類身分」延伸至龐大的「機器與工作負載身分」。橙鋐科技作為資訊安全專業代理商，深耕企業資安防護與架構規劃，代理全球特權存取與機密管理領導品牌 SSH Communications Security。我們具備專業的原廠技術支援與顧問服務團隊，能協助企業全面盤點內部存取路徑、評估憑證擴散風險，並逐步導入現代化的身分治理與零信任存取架構，若您的企業正致力於提升雲端架構安全、解決開發環境中的金鑰管理挑戰，或希望進一步了解 SSH PrivX 解決方案免費試用，請聯繫橙鋐科技技術顧問團隊，隨時為您提供最適合的架構評估與規劃服務。

閱讀原廠文章：Secret Sprawl Isn't Just a Developer's Problem—It's a Business Risk