Un reciente estudio de la empresa de ciberseguridad wiz.io reveló que gran parte de las compañías más relevantes en el desarrollo de inteligencia artificial han publicado inadvertidamente sus claves privadas de API, tokens y otros credenciales en repositorios públicos de GitHub.
Lo que se descubrió
El análisis revisó la huella digital de las 50 empresas líderes en inteligencia artificial según Forbes, encontrando que alrededor del 65 % de ellas tienen filtraciones de secretos verificadas. Los archivos más comprometidos fueron cuadernos Jupyter, scripts en Python y archivos de entorno, donde los desarrolladores dejaron expuestas claves pertenecientes a servicios de uso común en proyectos de IA.
Algunas de estas filtraciones permitirían acceso directo a modelos privados, datos de entrenamiento e incluso a la infraestructura interna de las empresas. Lo más preocupante es que, pese a haber sido notificadas, muchas compañías no respondieron o no corrigieron los problemas de inmediato.
Se estima que más de 39 millones de claves, tokens y credenciales fueron filtrados públicamente en GitHub durante el último año.
¿Por qué es tan grave filtrar información en GitHub?
Para el ecosistema tecnológico —y especialmente para las empresas que desarrollan o implementan soluciones de inteligencia artificial— este tipo de errores representa un riesgo enorme:
- Acceso no autorizado a modelos o datos sensibles: una clave expuesta puede permitir que un tercero utilice o explore un modelo privado, copie datos de entrenamiento o comprometa información crítica.
- Daño reputacional: una empresa que promete seguridad y control no puede darse el lujo de exponer su infraestructura.
- Errores persistentes: no es un problema nuevo; la exposición de credenciales ha sido recurrente en proyectos de software y la velocidad del desarrollo en IA lo agrava.
- Cultura de desarrollo acelerado: el fenómeno conocido como “vibe coding”, donde prima la rapidez sobre la seguridad, contribuye a la falta de revisiones y controles.
- Tamaño no garantiza protección: incluso empresas con pocos repos públicos filtraron secretos, mientras que otras con decenas de repos lograron evitarlo gracias a mejores políticas internas.
Cómo evitar las filtraciones de claves API, tokens y otras credenciales digitales en GitHub
Prevenir este tipo de incidentes requiere disciplina, herramientas adecuadas y una cultura de seguridad sólida. Algunas recomendaciones clave son:
- Nunca incluir credenciales en el código: utilizar variables de entorno o gestores de secretos.
- Usar escaneo automático de secretos: aplicar herramientas que detecten credenciales en el historial de commits, forks y repos archivados.
- Definir roles claros entre desarrollo, operaciones y seguridad: los equipos deben revisar el código antes de integrarlo al repositorio principal.
- Auditar los repositorios de forma periódica: los controles deben repetirse en el tiempo, no solo tras un incidente.
- Aplicar el principio de mínimo privilegio: cada clave o token debe tener solo los permisos estrictamente necesarios.
- Contar con un plan de respuesta ante incidentes: en caso de filtración, las claves deben rotarse de inmediato y realizar una auditoría de accesos.
- Usar las herramientas de protección de secretos disponibles: GitHub, por ejemplo, ya ofrece funciones avanzadas para detectar y bloquear filtraciones antes de que ocurran.
- Capacitar continuamente a los equipos: la mayoría de las filtraciones ocurren por descuido humano, no por fallas técnicas.
La era de la inteligencia artificial amplifica tanto las oportunidades como los errores. Que una gran parte de las principales compañías del mundo haya filtrado sus claves demuestra que no basta con innovar: también hay que hacerlo con disciplina.
