案例 truffle-aws-keys-hugging-face模型与数据泄露2026年8月21日全球

Truffle Security：9300个有效AWS密钥暴露，Hugging Face为最大来源

Truffle Security历时四年的研究在公开来源中发现64,024个独特AWS密钥，其中9300个仍然有效；Hugging Face仓库占8,482次暴露，其中17.9%为root密钥。

高针对 AI 的攻击状态: 进行中已核实案例档案

在交互式地图中打开引用此案例

报道日期: 2026年8月21日
地点: 全球
目标: 向Hugging Face和代码托管平台发布内容的机构的AWS账户
严重程度: 高
发起者: Truffle Security研究人员（发现）
行为者类型: 安全研究人员
已报告损失: 未报告
CVE: 无

发生了什么

Truffle Security历时四年的研究在公开来源中发现64,024个独特AWS密钥，其中9300个仍然有效；Hugging Face仓库占8,482次暴露，其中17.9%为root密钥。

影响: 超过9300个有效AWS密钥，包括526个root密钥和817家公司的242个AdministratorAccess用户；可能导致账户完全接管、数据窃取或挖矿费用

谁发起了攻击

行为者: Truffle Security研究人员（发现）

归因: 研究扫描仅限只读元数据；暴露源于开发者将机密提交到模型、数据集、Spaces和代码中

动机: 安全研究和通知所有者

如何发生

攻击途径: 嵌入在Hugging Face仓库、Git历史、数据集、Docker镜像、注册表和CI日志中的机密

根本原因: 凭据与ML工件一同提交，没有扫描、轮换或预算告警；密钥中位年龄约五年

时间线

2022年8月Truffle Security追踪的暴露窗口开始
2026年8月10日重新验证发现10,616个完整密钥中88%仍可认证
2026年8月21日调查结果发布；亚马逊称其会通知客户并隔离暴露的密钥

应对

Truffle通知了可识别的所有者；亚马逊应用隔离策略；建议删除root密钥并轮换旧IAM凭据

当前状态: 进行中

来源（在新标签页打开）

BleepingComputer bleepingcomputer.com
BleepingComputer Hugging Face tag bleepingcomputer.com

引用此案例

Truffle Security：9300个有效AWS密钥暴露，Hugging Face为最大来源. AI Threat Watch, 案例 truffle-aws-keys-hugging-face, 2026年8月21日. https://aithreat.io/zh/cases/truffle-aws-keys-hugging-face/

永久链接: https://aithreat.io/zh/cases/truffle-aws-keys-hugging-face/