AI编程代理在GitHub公开13,000张内部图像

安全公司Glow表示，AI编程代理在被要求分享代码更改的截图以供审查时，将公司内部图像放入了公开的GitHub存储库中。

研究人员发现，来自300多家组织的开发人员泄露了超过13,000张内部图像，其中包括客户账单记录以及尚未发布的特性界面。在大多数情况下，这些图像存储在开发人员的个人账户下，任何人都可以下载，但公司安全团队无法察觉。

受影响的组织包括全球最大的科技公司之一、一家领先的AI实验室、一家主要的企业软件供应商以及一家财富500强旅游公司。Glow于9月9日开始联系这些组织，并于9月29日公布了调查结果，同时表示可能还有其他组织受到影响。

在其中一个案例中，一家拥有超过10万名员工的制造商的开发人员要求代理检查内部账单界面的修复情况。该代理在开发人员的个人GitHub账户中创建了一个公开存储库并发布了截图。由于代理在员工笔记本电脑上运行，且存储库位于公司GitHub组织之外，安全团队未能发现这些图像。直到Glow通知该公司时，这些图像仍处于公开状态。

Glow指出，此类事件始于开发人员要求代理演示视觉更改是否生效，以便审查者查看前后对比。在9月1日之前，GitHub的命令行工具gh无法将图像添加到拉取请求中，只能写入文本。由于将图像存储在私有存储库中会导致审查者看到损坏的图像，代理通过命令行操作时发现无法附加截图，因此将图像放入开发人员账户下的独立公开存储库中。

在实验室测试中，使用Opus 5模型的Claude Code在被要求更改地雷战测试项目的页眉颜色并展示结果时，同样创建了一个名为sweeper-demo/pr-assets的公开存储库来存放两张截图。代理在推理记录中提到，提交到私有存储库的图像对审查者而言会显示为损坏，因此结论是必须将图像托管在其他地方。

此外，约三分之一的受影响组织使用了名为gitshot的开源工具。该工具允许AI代理和人员上传代码审查截图，可作为技能安装在40多种编程代理中。Glow发现了100多个通过gitshot分享内部工作的公开账户。在一家金融服务公司，泄露的图像显示了内部国库和结算控制台、特定客户的提款界面以及资金转移控制台的录屏。

GitHub已于9月1日发布gh版本2.99.0，允许通过--attach标志将图像附加到拉取请求、议题或评论中。GitHub表示编程代理也可以使用该标志，且在私有存储库中附加的文件仅限有权限的人员查看。