В публичных файлах GitHub нашли захардкоженные ключи MCP

Hush Security проанализировала около 82 000 конфигурационных файлов MCP на GitHub и обнаружила, что в 12% слотов с учётными данными были прописаны ключи и токены в открытом виде. 24% найденных секретов имеют широкие права и не истекают по умолчанию, а 243 секрета остались в истории Git после удаления из актуальной версии.

• 12% из ~82 000 файлов MCP содержали захардкоженные учётные данные
• 55% секретов не имели распознаваемого формата, 31% — непрозрачные bearer-токены
• 53% ключей с известными правами давали доступ на уровне организации или БД
• 243 секрета остались в истории Git после удаления из текущего файла