L'esposizione di segreti è la divulgazione accidentale di credenziali, token API, chiavi di crittografia, cookie di sessione o altri dati sensibili. Nei sistemi sicuri, questi valori devono rimanere privati perché provano l'identità o sbloccano servizi protetti. Se vengono esposti, un attaccante può riuscire ad accedere, chiamare API interne, decifrare i dati o impersonare sistemi fidati.
Nelle attacchi reali, i segreti spesso emergono nel codice sorgente, nei file di ambiente, nei log, nei report di crash, nell'output di debug, nei backup o in uno storage cloud configurato in modo errato. Nelle applicazioni generate dall'AI o sviluppate rapidamente, una revisione poco accurata può rendere queste esposizioni più difficili da individuare. I difensori riducono il rischio con la scansione dei segreti, la revisione del codice, la redazione dei log, l'archiviazione dei segreti in un vault, token a breve durata, la rotazione e l'accesso con privilegi minimi. La regola fondamentale è semplice: trattare qualsiasi segreto esposto come compromesso finché non viene rimosso e sostituito.