Secrets Sprawl 2026 热点解读：凭据泄露治理 30 天行动计划
2026 年关于“代码中泄露凭据”的讨论重新升温，不是因为它新，而是数据规模和 AI 编码工具普及后风险面扩大得更快。研发团队需要的是行动方案，不是恐慌。
1. 关键数据（来自公开报告）
- GitGuardian 报告显示：2024 年在公开 GitHub 提交中发现 23,770,171 个新 secrets（同比 +25%）。
- 报告同时提到：2022 年泄露的 secrets 中，约 70% 在 2025 年仍然有效。
- 报告观察到：使用 Copilot 的公开仓库 secret 泄露率为 6.4%，并给出高于整体平均的暴露趋势。
这意味着问题不只是“泄露了”，还包括“长期不失效”。
2. AI 编码时代为什么更容易泄露
- 代码生成和重构速度提升，错误配置能更快扩散。
- 示例代码、脚手架和临时调试文件被直接提交。
- 团队把 secret scanning 当“提醒”，没有变成强制门禁。
3. 30 天治理计划（可执行）
- 第 1 周：启用并收敛扫描规则（代码、历史、容器镜像、协作工具）。
- 第 2 周：建立“发现即轮换”流程，按系统级别定义 SLA。
- 第 3 周：接入 CI 门禁（扫描失败不允许合并）。
- 第 4 周：推进动态凭据和最小权限，降低泄露后破坏面。
4. 团队最容易忽略的三件事
- 只扫源码，不扫 Docker 镜像和协作工具（Slack/Jira 等）。
- 只处理“命中的条目”，不追踪“是否完成轮换”。
- 规则升级后不复盘误报/漏报，导致工程师逐步忽略告警。
5. 治理指标建议
- MTTR（从发现到轮换完成）
- 高危 secret 存活时长
- 扫描命中后误报率与漏报复盘率
- 因凭据问题触发的线上事件数量
真正的目标不是“零泄露”，而是“泄露后可快速遏制，且难以造成实质破坏”。
把 secret 治理当成持续工程能力，而不是一次性安全专项，才能应对 AI 开发节奏下的新风险。
参考信息（官方）
- GitGuardian：State of Secrets Sprawl（2025/2026 页面）
- GitHub Changelog（2026-03-10）：Secret Scanning 更新
- GitHub Docs：Secret Scanning