逾 9,300 組公開 AWS 金鑰仍能使用：雲端憑證外洩後，數年未撤銷成最大風險

Truffle Security 於 2026 年 8 月公布的研究，揭示了 AWS 雲端憑證外洩後長期未撤銷的問題。研究團隊在 2022 年 8 月至 2026 年 8 月期間，從公開程式碼儲存庫、Git 歷史、資料集、Docker 映像檔、容器登錄庫與持續整合（CI）記錄中，記錄到 431,875 筆 AWS 秘密資料。去除重複並完成驗證後，共有 64,024 組獨立 AWS 金鑰。 145

真正令人擔憂的不只是外洩數量，而是其中仍有大量憑證可以使用：研究人員在 2026 年 8 月 10 日測試的 10,616 組完整憑證配對中，有 9,308 組成功通過身分驗證，比例約為 88%。 145

高權限 AWS 憑證也在外洩名單中

經驗證的金鑰包括 10,625 組 root 憑證、48,744 組 IAM 使用者金鑰，以及 4,655 組無法分類的金鑰。Root 憑證占獨立金鑰總數的 16.6%，是 AWS 帳戶中權限最高的憑證類型。 1

Truffle Security 另找出 817 組仍有效、且與企業有關聯的金鑰，其中包括：

• 526 組 root 金鑰：擁有 AWS 帳戶最高層級的權限。
• 242 組具 AdministratorAccess 的 IAM 使用者金鑰：相關政策可能提供完整帳戶控制權。
• 合計 768 組可完全控制企業 AWS 帳戶的憑證。
• 130 組屬於 AWS Organizations 管理帳戶的有效 root 金鑰：一旦遭到入侵，風險可能波及同一組織下的成員帳戶。 13

在另一個可以列舉 IAM 政策的較小樣本中，1,157 名可讀取政策的 IAM 使用者，有 976 名、即 84% 擁有 AdministratorAccess；另有 144 名擁有 IAMFullAccess。Truffle Security 提醒，這項比例只能作為方向性指標，因為允許研究人員列舉政策的使用者，未必能代表所有外洩的 IAM 使用者。 1

受影響 AWS 帳戶數字為何不同？

目前提供的報導資料出現兩個看似不同的帳戶數字，可能是統計範圍不一致所致：一份摘要稱 64,024 組金鑰分布於 9,945 個不同 AWS 帳戶，而來源報告摘要則列出 50,654 個不同 AWS 帳戶。現有資料沒有說明兩者差異，因此不應將這兩個數字視為可互換的統計結果。 1

不過，帳戶層級的風險相當明確：研究人員確認數百組有效憑證與企業有關，其中 768 組可能讓攻擊者完全控制企業 AWS 帳戶。 13

Hugging Face 成為最大單一來源

在研究追蹤的來源中，Hugging Face 是最大的單一來源。研究人員在 3,394 個公開資料集中找到 8,482 組獨立、仍有效的 AWS 金鑰；其中 17.9% 是 root 憑證，為各來源中最高的 root 金鑰占比。 125

問題不只在於秘密資料曾被放進公開程式碼，也在於公開程式碼可能被反覆複製與再利用。包含憑證的程式碼快照，可能被收進 AI 訓練資料，再分發到多個下游資料集。因此，即使原始儲存庫已刪除或修改檔案，也不代表所有副本都已消失。 1

這項以 AWS 為主的結果，屬於 Truffle Security 對 Hugging Face 進行的更大規模掃描的一部分。該公司表示，掃描範圍達 7.6 PB、1.87 億個檔案，並在 6,003 個資料集中找到 221,303 組仍有效且獨立的憑證。這些數字涵蓋所有類型的憑證，不僅限於 AWS 金鑰。 6

多數有效金鑰已存在多年，卻沒有輪替

在 2,903 組可讀取建立日期的有效金鑰中，金鑰年齡中位數為 1,831 天，約 5 年；其中一半已存在超過 5 年，最老的一組達 17.4 年。只有 25 組、即 0.9% 的金鑰是在前 30 天內建立。 1

這些金鑰中，僅 398 組、即 13.7%，有較新的替代金鑰。研究結果顯示，多數金鑰在外洩後沒有被輪替、取代或清理。 1

實務上，任何曾出現在公開資料中的秘密，都應視為永久外洩。即使原始檔案或儲存庫內容已修改，Git 歷史、容器映像檔、套件產物與公開資料集仍可能保留舊副本。 1

缺少預算警示，增加挖礦帳單風險

雲端成本控管同樣普遍不足。在 2,754 個可讀取設定的帳戶中，只有 262 個、即 9.5%，設有任何預算警示；警示門檻中位數為 8 美元。 12

換句話說，90.5% 的可讀取帳戶沒有偵測到預算警報。若攻擊者取得仍可使用的憑證，就可能利用 AWS 運算資源挖掘加密貨幣，或執行其他高耗用工作負載，直到異常支出累積後才被發現。 12

研究人員能讀取支出資料的帳戶，在 2026 年 7 月合計支出 420,631 美元；其中 50 個帳戶單月支出超過 1,000 美元，9 個超過 10,000 美元。不過，這些數字只描述研究觀察到的帳戶，不能證明相關支出是由憑證遭濫用所造成。 1

AWS 的隔離政策不代表金鑰立即失效

Truffle Security 表示，研究期間觀察到 AWS 對被偵測為外洩的 IAM 金鑰套用 AWSCompromisedKeyQuarantine 政策。這項政策會限制金鑰能執行的操作，但不一定會立即停用其驗證能力。 1

在研究檢視的有效 IAM 金鑰中，有 929 組（7,590 組中的 12%）帶有這項政策；另有 112 組使用 AWS 自 2023 年起停止套用的舊版本政策。研究結果顯示，有些金鑰即使早已收到外洩通知，仍可能維持可用狀態。 1

因此，看到隔離政策不應被解讀為底層秘密已安全退役。組織仍應確認金鑰擁有者與權限，並立即撤銷或輪替相關憑證。 1

研究人員如何測試這些憑證？

Truffle Security 表示，只有在取得完整憑證配對時，才會重新驗證該組憑證。針對帳戶與權限分析，研究人員一次只使用一組金鑰執行唯讀 IAM 呼叫；他們沒有公開金鑰內容，並通知所有能辨識出的擁有者。 15

這項方法也說明了「88%」這個數字的適用範圍：它代表完成重新測試的完整憑證配對，不代表所有公開發現，或掃描期間找到的部分秘密資料。 14

組織現在應該採取哪些措施？

研究結果支持以下幾項基本的事件應變與憑證管理措施：

1. 刪除 root 存取金鑰。 Truffle Security 認為，root 金鑰沒有正當的日常營運用途。 1
2. 盤點所有 IAM 存取金鑰。 範圍應包括程式碼儲存庫、Git 歷史、CI 記錄、容器映像檔、登錄庫與公開資料集。 1
3. 立即撤銷或輪替外洩憑證。 只刪除看得見的檔案並不足夠，因為秘密可能仍存在於歷史版本或下游產物中。 1
4. 設定金鑰最長使用期限並強制輪替。 老舊且未使用的憑證應移除，不應無限期保留。 1
5. 啟用預算警示。 即使將門檻設在 10 美元等較低金額，也能更早發現未授權支出。 1
6. 監控 AWSCompromisedKeyQuarantine。 將其視為憑證可能外洩的訊號，進一步調查金鑰來源、擁有者與權限。 1
7. 持續進行秘密掃描。 應涵蓋原始碼、版本歷史、建置系統、容器產物、登錄庫與公開資料集。 1

這項研究最核心的警告是：公開曝光不是一次性的資料外洩事件。若沒有撤銷、輪替與持續監控，一組 AWS 憑證可能在曝光數年後，仍然成為進入雲端基礎設施的有效入口。