Kod bulmaca: Bu kodda hangi satır seni yakar?
Cevap: 2. satır. API anahtarı (sk-proj-...) doğrudan kodun içine yazılmış. Kod herkese açık bir depoya gönderildiği an anahtarı da herkes görür ve kopyalayabilir; senin hesabından yapay zeka kullanılır, fatura sana gelir.
GitGuardian'ın State of Secrets Sprawl 2026 raporuna göre 2025'te herkese açık GitHub commit'lerine 28,65 milyon yeni gizli bilgi (anahtar, şifre, token) yazıldı (+%34). Yapay zeka servislerine ait sızan anahtarlar 1,27 milyon (+%81). Claude Code destekli commit'lerde sızıntı oranı %3,2, tüm commit'lerde %1,5; rapor bunu bir araç hatası değil, öneriyi onaylayan insanın iş akışı olarak yorumluyor. 2022'de geçerli bulunan sızmış anahtarların %64'ü Ocak 2026'da hâlâ geçerliydi.
Hatalı kod
from openai import OpenAI
ai = OpenAI(api_key="sk-proj-Q7f...9xA") # 2. satır: anahtar kodda
cevap = ai.responses.create(model=M, input=s)
Doğru kod
from openai import OpenAI
ai = OpenAI() # anahtarı OPENAI_API_KEY ortam değişkeninden okur
cevap = ai.responses.create(model=M, input=s)
Anahtarı ortam değişkenine koy (terminal):
export OPENAI_API_KEY="yeni-anahtarin" # macOS / Linux
setx OPENAI_API_KEY "yeni-anahtarin" # Windows (yeni terminal aç)
.env dosyası kullanıyorsan onu git'e hiç ekleme:
echo ".env" >> .gitignore
git rm --cached .env # daha önce eklendiyse takipten çıkar
Node.js için aynı mantık: process.env.OPENAI_API_KEY.
Anahtar sızdıysa: 3 adım
- Hemen iptal et, yenisini oluştur. Silmek yetmez; eski anahtar çalışmaya devam eder. - OpenAI: https://platform.openai.com/api-keys - Anthropic: https://console.anthropic.com/settings/keys - Google AI Studio (Gemini): https://aistudio.google.com/apikey
- Harcama limiti koy ve kullanımı kontrol et. OpenAI: https://platform.openai.com/settings/organization/limits
- Git geçmişini temizle. Son commit'te silmek anahtarı geçmişten kaldırmaz. Rehber: https://docs.github.com/en/authentication/keeping-your-account-and-data-secure/removing-sensitive-data-from-a-repository (anahtarı iptal etmek yine de ilk adım).
Bir daha olmasın
- GitHub push koruması (bilinen anahtar biçimlerini push sırasında engeller): https://docs.github.com/en/code-security/secret-scanning/introduction/about-push-protection
- Yapay zeka asistanına kod yazdırıyorsan, kabul etmeden önce
api_key=,token=,password=geçen satırlara bak. - MCP ve araç ayar dosyalarına da anahtar yazma; rapor bu dosyalarda 24.008 gizli bilgi buldu.
Kaynak
- GitGuardian, The State of Secrets Sprawl 2026 (17.03.2026): https://blog.gitguardian.com/the-state-of-secrets-sprawl-2026/