Все находки● Открыта▲4 КритичноAIF-10
Ключ Anthropic в истории репозитория acme/ml-demo
Коммит 14 месяцев назад; репозиторий публичный
Пассивнопубличные данные, без запросов к вашим серверам
51 300–85 500 ₽₽/ч · P50–P90
GHGitHub
31 минс обнаружения
Доказательство
- Репозиторий
- github.com/acme/ml-demo (публичный)
- Коммит
- a91f3c2 · 14 мес. назад · файл notebooks/.env
- Ключ
- sk-ant-…a4F2 — показываем только 4 последних символа
- Отпечаток
- sha256:e07d…11b8 — значение не хранится
- Живость
- не проверялась: нужен режим «С согласием»
Значения секретов не раскрываются и не хранятся — только тип, место, 4 последних символа и отпечаток SHA-256.
Почему опасно
- Публичный GitHub сканируют боты: ключи эксплуатируют за минуты–часы после пуша.
- Удаление файла не помогает — ключ остаётся в истории коммитов и в форках.
- Если ключ ещё жив — на ваш счёт идёт чужой трафик к моделям Claude.
Сколько стоит
1 000 000 токенов/мин × 60 × $15 / 1 млн = $900/ч · лимит трат: не задан
| P50 — типичный сценарий | 51 300 ₽/ч |
| P90 — плохой сценарий | 85 500 ₽/ч |
| Без мониторинга трат за выходные (48–60 ч) | 2 462 400–5 130 000 ₽ |
Как починить
console.anthropic.com → Settings → Limits
Spend limit: $1 000/мес · email-алерт на 50 %
(или Spend Limits API из CI)
Соответствие
OWASP LLM02ISO 27001 A.8.24
Критичность: Критично · категория: Секреты