ChatGPT-API-Leakage核心功能详解：如何高效扫描泄露的OpenAI密钥

ChatGPT-API-Leakage核心功能详解：如何高效扫描泄露的OpenAI密钥

【免费下载链接】ChatGPT-API-LeakageScan GitHub for available OpenAI API Keys项目地址: https://gitcode.com/gh_mirrors/ch/ChatGPT-API-Leakage

在当今AI技术飞速发展的时代，OpenAI API密钥的安全保护变得至关重要。ChatGPT-API-Leakage是一款专门用于扫描GitHub上泄露的OpenAI API密钥的安全研究工具。本文将详细介绍这个工具的核心功能、工作原理以及如何高效使用它来发现潜在的安全隐患。🔍

为什么需要OpenAI密钥扫描工具？

随着ChatGPT和各类AI应用的普及，越来越多的开发者在使用OpenAI API进行开发。然而，由于配置错误或安全意识不足，许多API密钥被意外上传到GitHub等代码托管平台。这些泄露的密钥不仅会造成经济损失，还可能被恶意利用。ChatGPT-API-Leakage正是为了解决这一问题而设计的专业扫描工具。

工具的核心架构设计

ChatGPT-API-Leakage采用模块化设计，主要包含以下几个关键组件：

1. 智能搜索模块

工具通过Selenium自动化浏览器访问GitHub搜索页面，使用精心设计的搜索策略来发现潜在的API密钥泄露。搜索模块支持多种编程语言过滤和关键词组合，确保覆盖最广泛的泄露场景。

2. 正则表达式匹配引擎

在src/configs.py中定义了多种API密钥的正则表达式模式，包括：

• 项目API密钥格式：sk-proj-[A-Za-z0-9-_]{74}T3BlbkFJ[A-Za-z0-9-_]{73}A
• 服务账户密钥格式：sk-svcacct-[A-Za-z0-9-_]{74}T3BlbkFJ[A-Za-z0-9-_]{73}A
• 旧版项目密钥格式：sk-proj-[A-Za-z0-9-_]{58}T3BlbkFJ[A-Za-z0-9-_]{58}

这些正则表达式能够精确识别不同格式的OpenAI API密钥，减少误报率。

3. 密钥验证系统

在src/utils.py中实现的check_key函数负责验证找到的API密钥是否有效。系统会向OpenAI API发送测试请求，根据返回结果判断密钥的当前状态，包括：

• 有效可用密钥
• 认证错误密钥
• 额度限制密钥
• 其他API状态错误

4. 数据库管理模块

所有扫描结果都存储在SQLite数据库中，便于后续分析和查询。数据库管理器在src/manager.py中实现，支持：

• 密钥去重处理
• 状态更新跟踪
• 批量查询操作

高效扫描的关键配置

搜索关键词优化

工具内置了丰富的搜索关键词列表，覆盖了AI开发的各种场景：

• 基础关键词：openai、chatgpt、api key、apikey
• 技术术语：llm、gpt-4、gpt-3、rag、RLHF
• 开发场景：experiment、project、lab、测试、实验

编程语言过滤策略

通过限制搜索的编程语言范围，工具能够获取更多有效结果：

LANGUAGES = [ "Dotenv", "Text", "JavaScript", "Python", "TypeScript", "Dockerfile", "Markdown", "Jupyter Notebook", "Shell", "Java", "Go", "C%2B%2B", "PHP" ]

文件路径智能筛选

工具特别关注可能包含配置信息的文件类型：

• 配置文件：.env、.yml、.yaml、.toml、.ini
• 数据文件：.json、.xml、.properties
• 日志文件：.log、.tmp、.backup

实际使用效果展示

上图展示了工具扫描到的API密钥在数据库中的存储情况。每个密钥都包含以下信息：

• 密钥内容：完整的API密钥（部分隐藏）
• 状态：有效、无效、额度不足等
• 发现时间：密钥被扫描到的时间戳
• 验证状态：最后一次验证的结果

使用注意事项和安全建议

⚠️ 重要免责声明

ChatGPT-API-Leakage仅供安全研究使用，旨在提醒开发者保护自己的数字资产。请勿将此工具用于非法目的，项目作者不对任何滥用行为负责。

GitHub推送保护机制

自2024年8月21日起，GitHub已启用推送保护功能，防止API密钥泄露。这意味着新上传的密钥会被自动检测和阻止，但历史泄露的密钥仍然存在。

保护自己的API密钥

如果您发现自己的API密钥被泄露，请立即：

1. 在OpenAI控制台中撤销泄露的密钥
2. 生成新的API密钥
3. 检查代码仓库中的敏感信息
4. 使用.gitignore排除配置文件

安装和快速启动指南

环境准备

确保系统已安装：

• Google Chrome浏览器
• uv包管理器（Python包管理工具）

安装步骤

git clone https://gitcode.com/gh_mirrors/ch/ChatGPT-API-Leakage cd ChatGPT-API-Leakage uv sync --all-groups

运行扫描

uv run main.py

系统会自动打开浏览器进行GitHub登录验证，然后开始扫描过程。

高级使用技巧

自定义搜索参数

工具支持多种命令行参数进行定制化扫描：

# 从指定迭代开始扫描 uv run main.py --from-iter 100 # 仅检查数据库中已有的密钥 uv run main.py --check-existed-keys-only # 使用自定义关键词和语言 uv run main.py -k "openai" "chatgpt" -l python javascript

数据库管理

扫描结果存储在github.dbSQLite数据库中，您可以使用任何SQLite浏览器查看和管理数据。数据库包含以下关键表：

• keys：存储所有发现的API密钥
• progress：记录扫描进度信息
• status：跟踪密钥验证状态

技术实现亮点

1. 智能分页处理

由于GitHub网页搜索只显示前5页结果，工具通过语言过滤和关键词组合来突破这一限制，获取更多潜在泄露的密钥。

2. 并发控制优化

虽然GitHub和OpenAI都有速率限制，但工具通过合理的延迟设置和请求队列管理，在遵守平台规则的前提下最大化扫描效率。

3. 错误处理机制

完善的异常处理确保扫描过程不会因网络问题或API限制而中断，所有错误都会被记录并继续执行。

常见问题解答

Q: 为什么使用Selenium而不是GitHub API？

A: GitHub官方搜索API不支持正则表达式搜索，而网页搜索支持。为了获得最佳的搜索效果，我们选择了Selenium自动化浏览器的方式。

Q: 为什么限制编程语言搜索？

A: 网页搜索只返回前5页结果。通过限制语言范围，我们可以将搜索分解为多个子搜索，从而获得更多有效的密钥。

Q: 多线程为什么不适用？

A: GitHub搜索和OpenAI API都有严格的速率限制，使用多线程不会显著提高效率，反而可能导致IP被封禁。

总结

ChatGPT-API-Leakage是一款功能强大的OpenAI API密钥泄露扫描工具，通过智能搜索、精确匹配和有效验证三大核心功能，帮助安全研究人员发现和分析GitHub上的密钥泄露问题。虽然GitHub已经加强了推送保护机制，但历史泄露的密钥仍然需要被识别和处理。

通过合理使用这个工具，开发者可以更好地了解API密钥泄露的风险模式，提高自身项目的安全性。记住，安全研究的目的是为了保护数字资产，而不是利用漏洞。请始终遵守法律法规和平台使用条款，将工具用于正当的研究目的。🔒

无论您是安全研究员、开发人员还是系统管理员，了解API密钥泄露的风险和防护措施都至关重要。ChatGPT-API-Leakage为您提供了一个实用的工具，帮助您在这个AI时代更好地保护自己的数字资产。

【免费下载链接】ChatGPT-API-LeakageScan GitHub for available OpenAI API Keys项目地址: https://gitcode.com/gh_mirrors/ch/ChatGPT-API-Leakage