API キーは実際どう漏れるのか
3 分で読む
API キーは、盗まれるより先に、置き忘れられます。
設定ファイルに書いたまま push する。サンプルコードに本物を入れたまま共有する。どれも悪意ではなく、手が滑っただけです。
その規模を、外から数えた報告があります。GitGuardian が公開されている GitHub のコミットを調べて毎年出しているもので、2026 年版は 2025 年の 1 年ぶんを扱っています。
1 年で 2,865 万件
報告はこう書いています。2025 年だけで 2,865 万件の新しい鍵が公開 GitHub のコミットに加えられ、前年より 34% 増えた。これは同社が記録した中で 1 年の伸びとして最大だ、と。 出典を開く確認 2026-09-21GitGuardian（State of Secrets Sprawl 2026）原文
28.65 million new hardcoded secrets were added to public GitHub commits in 2025 alone, a 34% increase year over year and the largest single-year jump we’ve recorded.
ここで数えられているのは公開されているリポジトリだけです。社内のリポジトリは外から見えないので、この数には入っていません。
増え方が最も急なのは AI の鍵
| 何が | どれだけ | 提供元が書いていること |
|---|---|---|
| AI サービスの鍵 | 127 万件 | 2025 年に AI サービスの鍵が 1,275,105 件に達したと書かれている |
| 前年比 | 81% 増 | 同じ報告の中で、前年からの伸びとして示されている |
| 1 つの例 | 11 万 3 千件 | DeepSeek の API キーが漏れた件数として挙げられている GitGuardian（State of Secrets Sprawl 2026）原文The report points to 113,000 leaked DeepSeek API keys as one example of how these windows of exposure open.出典を開く確認 2026-09-21 |
AI サービスは種類が増えるのが速く、鍵を発行する場面もそれだけ増えます。窓口が増えれば、置き忘れる場所も増えます。
AI に書かせたコードの方が、鍵が混ざりやすい
| 対象 | 鍵が混ざる割合 | 提供元が書いていること |
|---|---|---|
| Claude Code に手伝わせたコミット | 3.2% | 鍵が漏れる割合が 3.2% だったと書かれている GitGuardian（State of Secrets Sprawl 2026）原文Claude Code-assisted commits showed a 3.2% secret-leak rate出典を開く確認 2026-09-21 |
| 公開コミット全体 | 1.5% | 公開コミット全体の基準値として 1.5% が置かれている GitGuardian（State of Secrets Sprawl 2026）原文versus a 1.5% baseline across all public GitHub commits出典を開く確認 2026-09-21 |
約 2 倍です。ただし報告は、これを道具の失敗として読むべきではないとも書いています。何を受け入れ、何を直し、何を無視し、何を push するかを決めているのは開発者だ、と。 出典を開く確認 2026-09-21GitGuardian（State of Secrets Sprawl 2026）原文
Developers remain in control of what gets accepted, edited, ignored, or pushed.
読み方としては、こうなります。生成の速さが上がった分、目で見て止める機会が減った。止める仕組みを人の注意力の外に置く必要がある、ということです。
漏れることより、生き続けることが効く
この報告でいちばん重いのは、数の大きさではありません。
| いつ漏れた鍵か | 今どうなっているか |
|---|---|
| 2022 年に漏れた有効な鍵 | 64% が今も使えて、悪用できる状態にある GitGuardian（State of Secrets Sprawl 2026）原文64% of valid secrets from 2022 are still active and exploitable出典を開く確認 2026-09-21 |
3 年経っても、3 分の 2 が生きています。
ここが、鍵の期限や取り消しの話と直接つながります。調査記録で公開している 89 システムのうち、トークンの期限について提供元の言葉が取れたのは 7 件で、取り消す方法について書いているのは 2 件だけでした。詳しくは トークンはいつ切れ、どう取り消すか に置いています。
漏れた鍵が生き続けるのは、持ち主が怠けているからとは限りません。止め方がどこにも書かれていないことがあります。
置き場所も変わってきている
| 従来の前提 | 報告が指摘していること |
|---|---|
| 鍵は共有のリポジトリやクラウドに置かれる | 開発者の手元の機械が、鍵を盗む標的として主要になってきた GitGuardian（State of Secrets Sprawl 2026・報告の紹介ページ）原文Developer workstations are now a prime target for secrets theft出典を開く確認 2026-09-21 |
手元の機械に、複数のシステムに繋がる鍵が置かれていると、その機械そのものが守る対象になります。連携を増やすほど、手元に集まる鍵も増えます。
こう備える
| 順 | 何をするか | なぜ |
|---|---|---|
| 1 | リポジトリを自動で調べる仕組みを入れる | 人の目では push の速さに追いつかない |
| 2 | AI に書かせたコードを push する前に見る手順を決める | 生成が速い分、確認の機会が減っている |
| 3 | 鍵を発行する前に、止める手段を確かめる | 止め方が無ければ、漏れた時点で打つ手が無い |
| 4 | 手元の機械に置く鍵を減らす | 機械 1 台が複数のシステムへの入口になっている |
聞き方はこうなります。連携先に対して聞く形です。
「この鍵が漏れたとき、こちらで無効にできますか。手順はどこに書かれていますか。無効にすると、発行済みのトークンはどうなりますか。」
ここから先は調査の詳細です（約 1 分）。上のカードだけで決められます。調べた 1 件ずつの記録は IT連携マップ に、出典 URL と調査日つきで公開しています。
調査の詳細
調べた範囲は、GitGuardian が公開している年次報告（State of Secrets Sprawl 2026）の紹介ページと解説記事の 2 本です。対象はその 2 本に書かれている数字と説明で、報告本体の全文は含めていません（登録が必要なためです）。2 本を保存し、引用はすべて保存した原本に原文のまま在ることを確かめています。調べていないことは、この数え方が正しいかどうかの検証です（調べる対象と見つけ方は同社が決めており、こちらから再現する手段はありません）。
| 項目 | 内容 |
|---|---|
| 出典 | GitGuardian の年次報告（State of Secrets Sprawl 2026）の紹介ページと解説記事 |
| 数えている対象 | 公開されている GitHub のコミット |
| 対象年 | 2025 年 |
| 確認時期 | 2026 年 9 月 21 日 |
| 含まれないもの | 非公開のリポジトリ、社内の環境に置かれた鍵 |
数字は 1 社が調べた結果です。公開リポジトリという 1 つの面を見た結果であって、鍵の漏れ方の全体ではありません。ここで読み取れるのは規模と向きで、自分の組織の状況を表すものではありません。