AnswersPublished16 sources
9 308 offentligt exponerade AWS-nycklar var fortfarande aktiva
Truffle Security fann att 9 308 av 10 616 kompletta AWS nyckelpar – 88 procent – fortfarande kunde autentisera den 10 augusti 2026. Granskningen identifierade 431 875 offentliga AWS hemligheter och 64 024 unika nycklar i kodarkiv, Git historik, datamängder, containrar, register och CI loggar.
Publicerad avRedigerad med GPT-5.6 LunaBilder genererade med GPT Image 1.5
Research answer
Key takeaways
- Truffle Security fann att 9 308 av 10 616 kompletta AWS nyckelpar – 88 procent – fortfarande kunde autentisera den 10 augusti 2026.
- Granskningen identifierade 431 875 offentliga AWS hemligheter och 64 024 unika nycklar i kodarkiv, Git historik, datamängder, containrar, register och CI loggar.
- Problemet var långvarigt: medianåldern för aktiva nycklar med läsbart skapelsedatum var omkring fem år, och endast 13,7 procent hade en nyare ersättningsnyckel.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What did Truffle Security’s August 2026 research reveal about publicly exposed Amazon Web Services credentials—including how many secrets an. Article summary: Truffle Security found a large, persistent exposure problem: 64,024 unique verified AWS key pairs appeared in 431,875 public findings from August 2022–August 2026, and 9,308 of 10,616 complete credential pairs re-tested . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Truffle Securitys resultat från augusti 2026 pekar på ett omfattande och ovanligt långlivat problem med molnbehörigheter. I publika kodarkiv, Git-historik, datamängder, Docker-avbildningar, containerregister och loggar från kontinuerlig integration hittade forskarna 431 875 AWS-hemligheter under perioden augusti 2022–augusti 2026. Efter deduplicering och verifiering återstod 64 024 unika AWS-nycklar. 1
4
5
Det mest anmärkningsvärda var inte bara mängden exponerade uppgifter, utan hur många som fortfarande fungerade. Av 10 616 kompletta inloggningspar som testades den 10 augusti 2026 kunde 9 308 autentisera framgångsrikt – cirka 88 procent. 1
4
5
Många nycklar gav mycket höga behörigheter
Den verifierade mängden bestod av 10 625 root-uppgifter, 48 744 nycklar för IAM-användare och 4 655 nycklar som inte kunde klassificeras. Root-uppgifter utgjorde 16,6 procent av de unika nycklarna. 1
Truffle Security identifierade 817 aktiva nycklar som kunde kopplas till företag. Av dessa var:
- 526 root-nycklar, den mest privilegierade typen av åtkomstuppgift i ett AWS-konto.
- 242 IAM-nycklar med policyn
AdministratorAccess, som kan ge full kontroll över kontot. - 768 nycklar totalt som kunde ge en angripare full kontroll över ett företags AWS-konto.
- 130 aktiva root-nycklar för hanteringskonton i AWS Organizations, där ett intrång potentiellt kan påverka flera medlemskonton i samma organisation.
1
3
I en mindre grupp IAM-användare vars policyer gick att läsa hade 976 av 1 157 – 84 procent – AdministratorAccess. Ytterligare 144 hade IAMFullAccess. Truffle Security betonar att detta är en indikation snarare än ett representativt mått för alla läckta IAM-användare, eftersom urvalet bara omfattade användare som tillät att policyerna kartlades. 1
Hur många AWS-konton berördes?
Det underlag som tillhandahållits innehåller två olika totalsiffror för konton, sannolikt med olika avgränsningar. En sammanfattning anger att de 64 024 nycklarna omfattade 9 945 unika AWS-konton, medan källrapportens sammanfattning anger 50 654 unika AWS-konton. Materialet förklarar inte skillnaden, och siffrorna bör därför inte behandlas som utbytbara. 1
Riskbilden på kontonivå är däremot tydlig: hundratals aktiva behörigheter kunde kopplas till företag, och 768 kunde ge full kontroll över ett företags AWS-konto. 1
3
Hugging Face var den största enskilda källan
Hugging Face stod för 8 482 unika aktiva AWS-nycklar i 3 394 publika datamängder och var därmed den största enskilda källan i granskningen. Root-uppgifter utgjorde 17,9 procent av nycklarna där – den högsta andelen root-nycklar bland de källor som följdes. 1
2
5
Problemet förstärktes av hur publika kodprojekt återanvänds. Kodavbildningar som innehåller hemligheter kan kopieras till träningsdatamängder och sedan spridas vidare i flera andra datamängder. Att ta bort en uppgift från det ursprungliga kodarkivet innebär därför inte att alla kopior försvinner. 1
AWS-granskningen ingick i en bredare genomgång av Hugging Face. Truffle Security uppger att företaget skannade 7,6 petabyte och 187 miljoner filer och hittade 221 303 aktiva, unika behörigheter i 6 003 datamängder. Dessa siffror gäller alla typer av inloggningsuppgifter – inte enbart AWS-nycklar. 6
Många nycklar var flera år gamla
Bland 2 903 aktiva nycklar där skapelsedatum kunde läsas var medianåldern 1 831 dagar, alltså ungefär fem år. Hälften var äldre än fem år, den äldsta var 17,4 år och bara 25 nycklar – 0,9 procent – hade skapats under de senaste 30 dagarna. 1
Endast 398 av dessa 2 903 nycklar, motsvarande 13,7 procent, hade en nyare ersättningsnyckel. Det tyder på att de flesta inte hade roterats, ersatts eller rensats bort efter exponeringen. 1
Den praktiska lärdomen är enkel: en hemlighet som har publicerats bör betraktas som permanent komprometterad, även om originalfilen eller kodarkivet senare har redigerats. Git-historik, containeravbildningar, paketfiler och publika datamängder kan bevara äldre kopior. 1
Få budgetvarningar ökade risken för kryptomining
Budgetkontroller var också ovanliga. Av 2 754 konton vars inställningar kunde läsas hade bara 262 – 9,5 procent – någon form av budgetvarning. Mediantröskeln var 8 dollar. 1
2
Det innebär att 90,5 procent av de konton som gick att läsa saknade en upptäckbar budgetvarning. En angripare med fungerande behörigheter skulle kunna använda molnresurser för kryptomining eller andra tunga beräkningar innan organisationen upptäckte de ovanliga kostnaderna. 1
2
De konton vars kostnadsuppgifter kunde läsas stod tillsammans för 420 631 dollar i utgifter under juli 2026. Femtio konton spenderade mer än 1 000 dollar den månaden och nio spenderade mer än 10 000 dollar. Siffrorna beskriver de observerade kontona och visar inte att utgifterna orsakades av missbruk av läckta uppgifter. 1
AWS:s karantänpolicy innebar inte alltid omedelbar avstängning
Truffle Security uppger att AWS hade kopplat policyn AWSCompromisedKeyQuarantine till exponerade IAM-nycklar. Policyn begränsar vad en upptäckt nyckel får göra, men innebär inte nödvändigtvis att autentiseringen stängs av omedelbart. 1
Bland de aktiva IAM-nycklarna i granskningen hade 929 av 7 590 – 12 procent – denna policy. Ytterligare 112 hade en äldre version som AWS slutade använda 2023. Resultaten tyder på att vissa nycklar fortfarande gick att använda trots att exponeringen hade varit känd under lång tid. 1
En karantänpolicy bör därför ses som en signal om exponering, inte som ett bevis på att hemligheten är säkert pensionerad. Organisationen bör identifiera nyckelns ägare och behörigheter och sedan återkalla eller byta ut den. 1
Så testade forskarna uppgifterna
Truffle Security säger att företaget bara verifierade nyckelpar där det hade tillgång till fullständiga uppgifter. För att analysera konto och behörigheter använde forskarna skrivskyddade IAM-anrop, en nyckel i taget. De publicerade inte själva nyckelmaterialet och kontaktade alla ägare som gick att identifiera. 1
5
Det är viktigt när 88-procentsiffran ska tolkas: den gäller den delmängd kompletta nyckelpar som testades på nytt – inte alla offentliga fynd eller alla ofullständiga hemligheter som upptäcktes under skanningen. 1
4
Vad organisationer bör göra nu
Resultaten stöder en konkret checklista för incidenthantering:
- Ta bort root-åtkomstnycklar. Truffle Security menar att root-nycklar inte har någon legitim operativ användning.
- Inventera alla IAM-åtkomstnycklar, även sådana som finns i kodarkiv, Git-historik, CI-loggar, avbildningar, register och publicerade datamängder.
- Återkalla eller byt omedelbart ut exponerade uppgifter. Det räcker inte att radera den synliga kopian om hemligheten finns kvar i historik eller vidarepublicerade filer.
- Inför en maximal livslängd för nycklar och tvinga fram rotation. Gamla och oanvända behörigheter bör tas bort i stället för att ligga kvar på obestämd tid.
- Konfigurera budgetvarningar. Även en låg gräns, exempelvis 10 dollar, kan ge en tidig varning om obehöriga kostnader.
- Bevaka
AWSCompromisedKeyQuarantineoch utred policyn som en indikation på att en behörighet kan ha exponerats. - Använd kontinuerlig hemlighetsskanning i källkod, historik, byggsystem, containerartefakter, register och publicerade datamängder.
Den centrala varningen i forskningen är att en offentlig exponering inte är en engångsläcka. Utan återkallning, rotation och övervakning kan en AWS-uppgift förbli en fungerande väg in i molninfrastrukturen i flera år.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "9 308 offentligt exponerade AWS-nycklar var fortfarande aktiva"?
Truffle Security fann att 9 308 av 10 616 kompletta AWS nyckelpar – 88 procent – fortfarande kunde autentisera den 10 augusti 2026.
What are the key points to validate first?
Truffle Security fann att 9 308 av 10 616 kompletta AWS nyckelpar – 88 procent – fortfarande kunde autentisera den 10 augusti 2026. Granskningen identifierade 431 875 offentliga AWS hemligheter och 64 024 unika nycklar i kodarkiv, Git historik, datamängder, containrar, register och CI loggar.
What should I do next in practice?
Problemet var långvarigt: medianåldern för aktiva nycklar med läsbart skapelsedatum var omkring fem år, och endast 13,7 procent hade en nyare ersättningsnyckel.