Le chiavi API esposte sono credenziali lasciate visibili, archiviate in modo non sicuro o condivise in luoghi in cui persone o software non autorizzati possono trovarle. Una chiave API spesso agisce come una password per accedere a servizi cloud, piattaforme di codice o altri strumenti remoti, quindi un'esposizione può rapidamente trasformarsi in un uso improprio.
Nel campo della sicurezza informatica, le chiavi esposte sono importanti perché possono consentire a un attaccante di impersonare un'applicazione affidabile, leggere dati, creare risorse, inviare richieste o generare costi a carico dell'account della vittima. Si trovano comunemente in repository di codice pubblici, log, file di configurazione, messaggi di chat, screenshot e frammenti di codice copiati. I difensori riducono il rischio eseguendo la scansione alla ricerca di segreti, usando variabili d'ambiente o secret manager, limitando i permessi delle chiavi, ruotando le credenziali e monitorando attività API insolite. Nei sistemi di IA e automazione, il rischio aumenta quando gli strumenti o gli agenti possono cercare nei file e interagire con i segreti, perché una chiave visibile può essere accessibile, copiata o usata senza un'adeguata autorizzazione.