Я написал SAST-сканер для вайбкода и нашёл 30 реальных утечек в 3800 репозиториях

Проблема вайбкодинга — когда разработчик на пару промптов собирает Telegram-бота для продажи VPN, но забывает убрать из config.py токен бота, оставляет Postgres открытым наружу или не чистит историю git от .env. Автор написал SAST-сканер, заточенный именно под такой код, и прогнал его по 3800 публичным репозиториям.

Из 16 378 сырых находок после фильтрации осталось около 30 реальных утечек — токенов, ключей API и паролей. Автор подчёркивает, что ни один чужой ключ не был проверен: все находки обрабатывались автоматически, без доступа к аккаунтам. Инструмент доступен на GitHub.