Secrets Scanning

비밀 정보(환경 변수)를 적절히 관리하는 것이 중요합니다. 사람들이 자신의 비밀 정보를 외부에 노출시키는 가장 흔한 방법은 코드 파일에 비밀 정보를 하드코딩하는 것이며, 이는 악의적인 사용자가 해당 비밀 정보와 그 비밀 정보에 접근할 수 있는 서비스를 악용할 수 있게 만듭니다.

예를 들어, 손상된 app.py 파일은 다음과 같은 모습일 수 있습니다:

import numpy as np
import scipy as sp

api_key = "sw-xyz1234567891213"

def call_inference(prompt: str) -> str:
    result = call_api(prompt, api_key)
    return result

이 문제를 방지하기 위해, 사용자가 push할 때마다 TruffleHog를 실행합니다. TruffleHog는 하드코딩된 시크릿을 스캔하며, 시크릿이 감지되면 이메일을 보내드립니다.

인증에 사용된 각 제공업체에 대해 작동이 확인된 검증된 시크릿에 대해서만 이메일을 수신합니다. 다만, 검증되지 않은 시크릿이 반드시 무해하거나 유효하지 않다는 의미는 아닙니다. 네트워크 오류와 같은 기술적 이유로 인해 검증이 실패할 수 있습니다.

TruffleHog는 Hugging Face 토큰에 국한되지 않고 여러 서비스에서 작동하는 시크릿을 검증할 수 있습니다.

설정에서 해당 이메일 알림을 해제할 수 있습니다.

누출된 시크릿이 Hugging Face 액세스 토큰인 경우, 즉시 무효화할 수 있습니다. 본인 소유가 아닌 토큰도 포함됩니다. 누출된 토큰 무효화를 참조하세요.