9,308 Kunci AWS Terdedah Masih Berfungsi dalam Kajian Truffle Security

Penemuan Truffle Security pada Ogos 2026 menunjukkan masalah kelayakan awan yang bukan sahaja besar, malah berlarutan. Antara Ogos 2022 hingga Ogos 2026, penyelidik merekodkan 431,875 penemuan rahsia AWS dalam repositori awam, sejarah Git, set data, imej Docker, pendaftaran kontena dan log integrasi berterusan. Selepas pendua dibuang dan kelayakan disahkan, jumlah itu menjadi 64,024 kunci AWS unik. 145

Angka paling membimbangkan bukan sekadar jumlah kunci yang pernah terdedah, tetapi berapa banyak yang masih boleh digunakan. Daripada 10,616 pasangan kelayakan lengkap yang diuji semula pada 10 Ogos 2026, sebanyak 9,308—kira-kira 88%—berjaya mengesahkan akses. 145

Kelayakan berkuasa tinggi turut terdedah

Set kunci yang disahkan merangkumi 10,625 kelayakan root, 48,744 kunci pengguna IAM dan 4,655 kunci yang tidak dapat diklasifikasikan. Kelayakan root membentuk 16.6% daripada keseluruhan kunci unik. 1

Truffle Security mengenal pasti 817 kunci aktif yang dikaitkan dengan perniagaan. Daripada jumlah itu:

• 526 ialah kunci root, iaitu jenis kelayakan dengan tahap keistimewaan tertinggi dalam akaun AWS.
• 242 ialah kunci pengguna IAM dengan dasar AdministratorAccess, yang boleh memberikan kawalan penuh terhadap akaun.
• 768 kelayakan secara keseluruhan berpotensi memberikan penyerang kawalan penuh terhadap akaun AWS korporat.
• 130 kunci root aktif digunakan untuk akaun pengurusan AWS Organizations. Jika terjejas, akaun seperti ini berpotensi memberi kesan kepada akaun ahli lain dalam organisasi. 13

Dalam kumpulan lebih kecil pengguna IAM yang dasar aksesnya boleh disenaraikan, 976 daripada 1,157 pengguna yang boleh dibaca—84%—memiliki AdministratorAccess. Sebanyak 144 lagi mempunyai IAMFullAccess. Truffle memberi amaran bahawa angka ini hanya bersifat petunjuk kerana pengguna yang membenarkan penyelidik menyenaraikan dasar mungkin tidak mewakili semua pengguna IAM yang terdedah. 1

Berapa banyak akaun AWS terjejas?

Bahan pelaporan yang diberikan mengandungi dua jumlah akaun yang kelihatan menggunakan skop berbeza. Satu ringkasan menyatakan set 64,024 kunci itu meliputi 9,945 akaun AWS unik, manakala ringkasan laporan sumber menyebut 50,654 akaun AWS unik. Bahan yang tersedia tidak menerangkan punca perbezaan ini, jadi kedua-dua angka tersebut tidak wajar dianggap sama atau digunakan secara bersilih ganti. 1

Namun, gambaran risikonya tetap jelas pada peringkat keistimewaan: ratusan kelayakan aktif dikaitkan dengan perniagaan, manakala 768 daripadanya berpotensi memberikan kawalan penuh terhadap akaun AWS korporat. 13

Hugging Face menjadi sumber individu terbesar

Hugging Face menyumbang 8,482 kunci AWS unik yang masih hidup dalam 3,394 set data awam, menjadikannya sumber individu terbesar dalam semakan tersebut. Kelayakan root membentuk 17.9% daripada kunci berkenaan—bahagian kunci root tertinggi antara sumber yang dijejaki. 125

Pendedahan ini menjadi lebih sukar dipadam kerana kod awam boleh digunakan semula. Petikan kod yang mengandungi rahsia mungkin disalin ke dalam set data latihan sebelum diedarkan semula melalui pelbagai set data hiliran. Oleh itu, membuang kelayakan daripada repositori asal tidak menjamin semua salinannya turut hilang. 1

Dapatan berkaitan AWS ini ialah sebahagian daripada imbasan Truffle Security yang lebih luas terhadap Hugging Face. Syarikat itu berkata ia mengimbas 7.6 petabait data dan 187 juta fail, lalu menemukan 221,303 kelayakan unik yang masih hidup dalam 6,003 set data. Angka tersebut merangkumi semua jenis kelayakan, bukan kunci AWS sahaja. 6

Banyak kunci sudah bertahun-tahun tidak ditukar

Daripada 2,903 kunci aktif yang tarikh penciptaannya boleh dibaca, usia median ialah 1,831 hari—kira-kira lima tahun. Separuh daripadanya berusia lebih lima tahun, kunci paling lama berusia 17.4 tahun dan hanya 25 kunci, atau 0.9%, dicipta dalam tempoh 30 hari sebelumnya. 1

Hanya 398 daripada 2,903 kunci itu—13.7%—mempunyai kunci pengganti yang lebih baharu. Ini menunjukkan kebanyakan kunci mungkin tidak pernah ditukar, digantikan atau dibersihkan selepas terdedah. 1

Pengajarannya mudah: rahsia yang pernah muncul dalam bahan awam perlu dianggap telah terjejas secara kekal, walaupun fail atau entri repositori asal sudah disunting. Sejarah Git, imej kontena, artifak pakej dan set data awam boleh mengekalkan salinan terdahulu. 1

Kekurangan amaran bajet meningkatkan risiko cryptomining

Kawalan bajet juga jarang digunakan. Daripada 2,754 akaun yang tetapannya boleh dibaca, hanya 262—9.5%—mempunyai sekurang-kurangnya satu amaran bajet. Nilai ambang median ialah AS$8. 12

Ini bermakna 90.5% akaun yang boleh dibaca tidak mempunyai penggera bajet yang dapat dikesan. Penyerang yang memiliki kelayakan berfungsi boleh menyalahgunakan kapasiti pengkomputeran awan untuk cryptomining atau beban kerja lain sebelum organisasi menyedari kenaikan perbelanjaan yang luar biasa. 12

Akaun yang data perbelanjaannya boleh dibaca membelanjakan sejumlah AS$420,631 pada Julai 2026. Sebanyak 50 akaun membelanjakan lebih AS$1,000 dan sembilan akaun membelanjakan lebih AS$10,000 pada bulan tersebut. Angka ini hanya menggambarkan akaun yang diperhatikan dan tidak membuktikan bahawa perbelanjaan itu berpunca daripada penyalahgunaan kelayakan. 1

Dasar kuarantin AWS tidak semestinya terus membatalkan kunci

Truffle melaporkan bahawa AWS dikesan melampirkan dasar AWSCompromisedKeyQuarantine pada kunci IAM yang terdedah. Dasar ini mengehadkan tindakan yang boleh dilakukan oleh kunci, tetapi tidak semestinya menyekat pengesahan akses serta-merta. 1

Daripada kunci IAM aktif yang diperiksa, 929 daripada 7,590—12%—mempunyai dasar tersebut. Sebanyak 112 lagi menggunakan versi lama yang tidak lagi diterapkan AWS sejak 2023. Penemuan Truffle menunjukkan bahawa sesetengah kunci masih boleh digunakan walaupun notis pendedahan telah lama dikeluarkan. 1

Oleh itu, dasar kuarantin perlu dianggap sebagai petanda pendedahan, bukannya bukti bahawa rahsia asal sudah dilupuskan dengan selamat. Organisasi perlu menyiasat kunci berkenaan, mengenal pasti pemilik dan keizinannya, kemudian membatalkan atau menukarnya. 1

Cara penyelidik menguji kelayakan

Truffle berkata ia hanya mengesahkan semula pasangan kelayakan yang mempunyai bahan lengkap. Untuk analisis akaun dan keistimewaan, penyelidik menggunakan panggilan IAM baca sahaja, satu kunci pada satu masa. Mereka tidak menerbitkan bahan kunci dan memaklumkan setiap pemilik yang berjaya dikenal pasti. 15

Kaedah ini penting ketika menafsir angka 88%: kadar itu hanya terpakai kepada subset pasangan kelayakan lengkap yang diuji semula, bukan semua penemuan awam atau setiap rahsia separa yang ditemui sepanjang imbasan. 14

Langkah yang patut diambil organisasi

Penemuan ini menyokong senarai tindakan tindak balas insiden yang ringkas:

1. Padam kunci akses root. Truffle berpendapat kunci root tidak mempunyai kegunaan operasi yang sah. 1
2. Senaraikan semua kunci akses IAM, termasuk kunci dalam repositori, sejarah Git, log CI, imej kontena, pendaftaran kontena dan set data yang diterbitkan. 1
3. Batalkan atau tukar kelayakan yang terdedah dengan segera. Memadam salinan yang kelihatan tidak mencukupi jika rahsia itu masih tersimpan dalam artifak sejarah atau salinan hiliran. 1
4. Tetapkan usia maksimum kunci dan kuatkuasakan penukaran berkala. Kelayakan lama yang tidak digunakan wajar dibuang, bukan dibiarkan aktif tanpa had. 1
5. Konfigurasikan amaran bajet. Ambang rendah, seperti AS$10, sekalipun boleh menjadi isyarat awal terhadap perbelanjaan tanpa kebenaran. 1
6. Pantau AWSCompromisedKeyQuarantine dan siasatnya sebagai bukti bahawa kelayakan mungkin telah terdedah. 1
7. Gunakan pengimbasan rahsia berterusan merentasi kod sumber, sejarah, sistem binaan, artifak kontena, pendaftaran dan set data awam. 1

Amaran utama kajian ini ialah pendedahan awam bukan kebocoran yang berlaku sekali sahaja. Tanpa pembatalan, penukaran dan pemantauan, satu kelayakan AWS boleh kekal sebagai laluan masuk ke infrastruktur awan selama bertahun-tahun.