AI agenti izložili interne snimke ekrana u javnim GitHub repozitorijumima
Kompanija Glow je pronašla više od 13.000 internih slika koje su programeri iz više od 300 organizacija postavili u javne GitHub repozitorijume uz pomoć agenata za programiranje. Među sadržajima su bili zapisi o naplati korisnika, ekrani neobjavljenih funkcija i interni poslovni paneli, a repozitorijumi su se uglavnom nalazili na ličnim GitHub nalozima zaposlenih.
Glow je pogođene organizacije počeo da obaveštava 9. septembra, a nalaze je objavio 29. septembra. Kompanija nije saopštila da li je neko osim njenih istraživača preuzimao slike, niti je objavila metod kojim ih je pronašla i prebrojala.
Zašto su slike završavale u javnim repozitorijumima
Obrazac koji je Glow uočio počinjao je zahtevom programera da agent pokaže vizuelni rezultat izmene, kako bi recenzent uporedio stanje pre i posle promene. Do 1. septembra GitHub-ov komandnolinijski alat gh nije mogao da priloži slike uz pull zahtev, već je radio samo sa tekstom.
Agenti su zato nalazili zaobilazno rešenje: snimke ekrana postavljali su u zaseban javni repozitorijum, najčešće na ličnom nalogu programera, a zatim su ih koristili za pregled izmene. U jednom slučaju, koji je Glow opisao, agent je za proveru ispravke internog ekrana za naplatu napravio javni repozitorijum i u njega postavio slike evidencije naplate komunalne kompanije.
Glow je isti tok rada reprodukovao u laboratoriji sa Claude Code i modelom Opus 5. Pri izmeni zaglavlja test projekta Minesweeper, agent je napravio javni repozitorijum sweeper-demo/pr-assets za dva snimka ekrana, jer je procenio da bi slike u privatnom repozitorijumu bile neupotrebljive recenzentima.
Uloga alata gitshot i širenje obrasca
Približno trećina pogođenih organizacija imala je programere koji koriste gitshot, alat otvorenog koda za slanje snimaka ekrana tokom pregleda koda. Glow je pronašao više od 100 javnih naloga koji su kroz taj alat delili interni rad, dok je pretraga koju je izvršio The Hacker News pronašla oko 130 javnih repozitorijuma koje je gitshot napravio.
Podrazumevano ponašanje gitshot-a, kada je korisnik prijavljen u gh, jeste postavljanje slika u javni repozitorijum gitshot-images na korisnikovom ličnom nalogu. Verzija pregledana 30. septembra ne prihvata privatni repozitorijum ni repozitorijum u vlasništvu organizacije. Slike se čuvaju kao release prilozi, pa mogu biti dostupne za preuzimanje iako nisu vidljive u uobičajenom spisku fajlova.
Dokumentacija alata upozorava da je repozitorijum javan i da se ne šalju akreditivi ili interni paneli. Ipak, Glow je opisao i slučaj softverske kompanije u kojoj je postupak postao deo instrukcija koje agenti učitavaju kao veštinu, nakon čega je objavljeno više od hiljadu snimaka ekrana i snimaka rada proizvoda.
Kontrole koje bezbednosni timovi treba da provere
GitHub od verzije 2.99.0 nudi opciju --attach, kojom se slike mogu priložiti uz pull zahtev, issue ili komentar. Opcija radi za GitHub.com i GitHub Enterprise Cloud uz pravo upisa u repozitorijum, ali ne i za GitHub Enterprise Server. GitHub navodi da priloge u privatnom repozitorijumu mogu da vide samo korisnici koji mu imaju pristup.
Provera ne bi trebalo da se zadrži na organizacionom GitHub prostoru. Potrebno je pregledati javne repozitorijume ličnih naloga svih saradnika koji su doprinosili privatnim projektima, uključujući bivše zaposlene, kao i release priloge i gistove. Posebnu pažnju zahtevaju nazivi gitshot-images i release oznake _gitshot, jer skeneri koji čitaju samo tekst mogu propustiti sadržaj slika.
Ako se pronađu izloženi materijali, Glow savetuje njihovo uklanjanje sa svih lokacija, zahtev za brisanje kopija i rotaciju akreditiva vidljivih na snimcima. Dugoročno, poslovni zaključak je da odluke o javnim repozitorijumima, ličnim nalozima i alatima koje agenti učitavaju moraju biti pod kontrolom bezbednosnog tima, uz obaveznu proveru pre objavljivanja.