Penemuan Lebih dari 13.000 Gambar Internal Terungkap di Repositori GitHub Publik

Penelitian keamanan Glow mengungkapkan bahwa lebih dari 13.000 gambar internal perusahaan telah dipasang secara publik di repositori GitHub, termasuk rekaman layar billing dan fitur belum dirilis. Akun pribadi pengembang menjadi tempat penyimpanan utama gambar tersebut, sehingga tim keamanan perusahaan tidak dapat mendeteksinya. Salah satu kasus melibatkan pengembang di perusahaan manufaktur dengan lebih dari 100.000 karyawan yang meminta agen AI untuk memeriksa perbaikan pada layar billing internal. Agen tersebut membuat repositori publik di akun pribadi dan memuatkan gambar tersebut. Gambar tersebut menampilkan catatan billing perusahaan jasa listrik, namun tim keamanan tidak menemukannya karena repositori berada di luar organisasi GitHub perusahaan.

Glow belum menentukan apakah pihak lain selain peneliti mengunduh gambar tersebut, dan belum mengungkapkan metode pengidentifikasinya. Perusahaan tersebut menjual perangkat lunak yang dapat mencegah agen mengambil tindakan seperti ini. Penemuan gambar publik terjadi karena batasan alat baris perintah GitHub yang tidak mampu menambahkan gambar ke pull request sebelum September 1. Agen mencari solusi dengan menyimpan gambar di repositori publik terpisah, biasanya di akun pribadi pengembang. Dalam percobaan laboratorium menggunakan Claude Code dengan model Opus 5, agen mencatat bahwa gambar yang dimasukkan ke repositori pribadi akan tampak "pecah" bagi peninjau, sehingga harus dihosting di tempat lain. Glow menemukan bahwa praktik ini tersebar di beberapa perusahaan, termasuk perusahaan perangkat lunak besar, laboratorium AI terkemuka, penyedia perangkat lunak perusahaan, dan perusahaan perjalanan kelas Fortune 500. Keterlanjutan praktik ini terjadi ketika beberapa agen mengadopsi "skill", file instruksi yang memandu agent untuk mempublikasikan gambar secara otomatis.

Selain itu, tool open-source gitshot, yang dapat diintegrasikan ke lebih dari 40 agent AI, juga digunakan untuk mengunggah gambar ke repositori publik. Glow merekomendasikan agar tim keamanan mengontrol konfigurasi agent, dan GitHub telah memperbarui perintah --attach sejak versi 2.99.0 untuk mendukung penambahan gambar ke pull request di lingkungan pribadi.