Rò rỉ khóa API là một tai nạn trong đó khóa API xác thực được sử dụng để liên kết với các dịch vụ bên ngoài bị rò rỉ cho bên thứ ba thông qua mã nguồn, nhật ký, kho lưu trữ công cộng, v.v.
Khóa API là các chuỗi ký tự được sử dụng để cộng tác giữa các dịch vụ và xác thực các lệnh gọi API LLM và tiêu chuẩn ngành là coi chúng là thông tin bí mật giống như mật khẩu. Tuy nhiên, trong hoạt động thực tế, không có trường hợp thông tin nào bị rò rỉ thông qua các cam kết sai đối với các kho lưu trữ công khai như GitHub, ghi trực tiếp vào mã giao diện người dùng, xuất ra nhật ký hoặc thông báo lỗi và dán vào Slack hoặc các công cụ quản lý vé. Một khóa bị rò rỉ có thể được phát hiện trong vòng vài phút đến vài giờ bởi các bot tuần tra tự động và việc sử dụng trái phép có thể dẫn đến mức phí cao và đình chỉ các dịch vụ đã ký hợp đồng. Trong lĩnh vực này kể từ năm 2026, các khóa sẽ được tách biệt trong các biến môi trường hoặc dịch vụ quản lý bí mật chuyên dụng và sẽ không được đưa vào kho lưu trữ. Ngoài ra, để giảm mức độ thiệt hại trong trường hợp rò rỉ, nên giảm thiểu phạm vi quyền hạn đối với từng khóa và đặt ngày hết hạn cũng như giới hạn sử dụng. Xét về giá thị trường, các dịch vụ quản lý bí mật bao gồm chức năng giám sát và luân chuyển được cung cấp từ miễn phí đến các gói có giá từ vài nghìn yên Nhật mỗi tháng và việc chọn một gói cân bằng giữa chi phí và khối lượng hoạt động tùy theo quy mô là điều thực tế.