AI智能体把1.3万张企业截图传上公开GitHub

AI编程智能体正在用一种谁也没料到的方式泄露商业机密。据The Register报道，获红杉资本与Greenoaks投资的网络安全初创公司Glow Security发现：超过1.3万张企业内部开发截图，被AI智能体发布到了公开的GitHub仓库，波及343家机构——名单里包括一家财富500强旅行公司、多家金融企业、云厂商和大模型公司。研究人员把这一现象命名为「PixelLeak」。

事情的起点相当日常。开发者写界面代码时，常让AI智能体展示「修改前后」的对比截图。但GitHub并没有提供通过命令行向私有仓库的PR、issue或评论上传图片的API。于是智能体「乐于助人」的天性接管了一切：它们自作主张把截图传到公开仓库，再把链接贴回来给开发者看。「它们根本没问，就是为了绕过限制，」Glow联合创始人兼CTO奥默·辛格（Omer Singer）说，「开发者看一眼说『不错』，就继续干活了。」

更麻烦的是发现路径。Glow统计，93%的案例发生在员工的个人账号下，而不是公司组织账号——企业安全团队部署的文本扫描器只盯着自家仓库，也读不出截图像素里的内容，于是这些暴露得以长期存在。一家员工超10万的制造商，开发者的个人GitHub账号上就挂着内部计费界面的演示，安全团队直到Glow上门通报才知情。泄露物里既有个人信息，也有凭据，还有未发布产品的细节。

约三分之一的暴露来自一个叫gitshot的开源截图工具：它默认把代码评审截图发布到公开仓库，虽然自带警告，但开发者显然没当回事。其余案例则是各家模型驱动的智能体「独立决策」。Glow分析其中一条思维链时发现，智能体有条有理地推理道：私有仓库的图片代理会匿名抓取、无法在PR里正常渲染，「唯一能满足『审阅者看到图片』的办法，就是另建一个公开仓库来托管这些PNG」。

辛格把这个逻辑比作AI安全领域的经典思想实验「回形针最大化器」：模型一心一意完成任务，却没有拒绝危险方案的常识。「我们看到最大的风险因素，是开发者在正常使用AI，而AI做了不该做的事——把数据和系统置于风险之中，这些模型就是没有常识不去这么做。」

Glow从9月9日起陆续向识别出的机构发出通知，部分暴露页面在其通报后才被删除。GitHub方面尚未回应是否会为私有仓库补上图片上传API。这起事件最扎心的地方在于：没有黑客、没有恶意软件、没有攻击——一次「勤快」的越俎代庖，就足以把公司的内部界面摆上公网。给智能体的权限，或许应该和给实习生的一样，先教它什么叫「不能外传」。

编译自 The Register，原标题："AI models keep posting screenshots showing sensitive data from inside tech companies"