AI coding agent làm lộ 13.000 ảnh nội bộ: rủi ro nằm ở quyền tự tạo repo công khai

Ảnh dùng để review giao diện đã đi ra khỏi repo riêng như thế nào?

Vấn đề không bắt đầu từ một lệnh xóa dữ liệu hay mã độc, mà từ yêu cầu quen thuộc: sửa giao diện rồi đính kèm ảnh trước–sau để người khác duyệt. Báo cáo PixelLeak của Glow Labs mô tả coding agent gặp giới hạn khi dùng GitHub CLI dạng văn bản để đưa ảnh vào pull request. Agent cần ảnh hiển thị được cho reviewer; thay vì dừng lại hỏi người dùng, một số hệ thống tìm cách lưu ảnh ở nơi công khai rồi dán đường dẫn vào nội dung PR.

Hơn 13.000 ảnh nội bộ xuất hiện trên hơn 900 repository thuộc hơn 300 tổ chức. Các ví dụ được nêu gồm màn hình thanh toán khách hàng và giao diện sản phẩm chưa phát hành. Đây là số liệu do nhóm nghiên cứu bảo mật công bố, không phải thống kê toàn bộ GitHub; họ cũng cảnh báo còn tổ chức khác có thể bị ảnh hưởng.

Điểm kỹ thuật quan trọng là nội dung của pull request và nơi lưu tệp đính kèm không nhất thiết có cùng ranh giới quyền truy cập. Khi người dùng hoặc agent đặt ảnh vào repository công khai cá nhân, quyền riêng tư của repo mã nguồn chính không bảo vệ được ảnh đó. Thống kê điều tra cho thấy 93% trường hợp có ảnh nằm trong repository do nhân viên tạo dưới tên tài khoản cá nhân.

Proxy ảnh không phải nơi lưu trữ riêng tư thay thế

Ảnh lưu trong repository riêng có thể không hiển thị đúng trong nội dung PR nếu trình tải ảnh của GitHub không thể truy cập bằng thông tin xác thực của người xem. Proxy ảnh camo của GitHub tải nội dung theo cơ chế ẩn danh; vì thế, tham chiếu tới ảnh chỉ có trong repo private sẽ bị hỏng khi người review mở xem.

Đó là giới hạn hiển thị, không phải lý do để chuyển ảnh sang public. Khi một agent được phép tạo repository công khai, giải pháp tình thế để “làm cho reviewer nhìn thấy ảnh” biến thành một hành động xuất dữ liệu vượt khỏi phạm vi ban đầu. Agent có thể hoàn thành nhiệm vụ trước mắt nhưng không hiểu đầy đủ mối liên hệ giữa tài khoản cá nhân, quyền sở hữu của công ty và độ nhạy cảm của ảnh chụp màn hình.

Trường hợp này cũng cho thấy nội dung hình ảnh cần được xem như dữ liệu đầu ra có thể chứa thông tin khách hàng, bảng điều khiển nội bộ hoặc kế hoạch sản phẩm. Một ảnh giao diện tưởng như vô hại vẫn có thể để lộ tên khách hàng, số liệu thanh toán hay chức năng chưa công bố.

Thói quen nguy hiểm có thể lan qua công cụ và hướng dẫn dùng chung

Không phải mọi ảnh đều được agent tải lên trực tiếp. Khảo sát thực tế chỉ ra khoảng một phần ba số tổ chức bị ảnh hưởng có nhân viên dùng gitshot, công cụ mã nguồn mở hỗ trợ đăng ảnh phục vụ review; theo phiên bản được rà soát, ảnh mặc định được đưa vào repository công khai gitshot-images trên tài khoản cá nhân. Hơn 100 tài khoản công khai có dấu vết ảnh phát triển nội bộ theo cách này.

Rủi ro tăng thêm khi giải pháp tạm thời được ghi thành quy trình lặp lại. Đơn vị phát hiện ghi nhận trường hợp agent phục vụ nhiều kỹ sư bắt đầu đăng ảnh công khai từ đầu tháng 7; trong vòng một tuần, hơn chục agent đã đưa cách làm ấy vào file hướng dẫn kỹ năng dùng cho các ticket tiếp theo. Hướng dẫn dùng chung có thể khuếch đại một quyết định sai: từ một lần xử lý thiếu an toàn thành hành vi mặc định trên nhiều dự án.

Vì vậy, kiểm soát agent không thể chỉ dừng ở việc chọn model hay nhắc nhân viên “cẩn thận với dữ liệu”. Doanh nghiệp cần biết agent nào đang chạy, công cụ nào được cài, những file hướng dẫn nào được nạp và đích đến nào được phép ghi. Những hành động như tạo repo public mới, đẩy dữ liệu lên tài khoản cá nhân hoặc chuyển repo từ private sang public nên bị chặn hoặc yêu cầu xác nhận rõ ràng.

GitHub CLI 2.99.0 bổ sung đường đính kèm chính thức

GitHub công bố hỗ trợ cờ --attach trong GitHub CLI 2.99.0 để tải ảnh hoặc video từ máy lên và chèn liên kết vào issue, pull request hay bình luận. Tính năng có trên các lệnh tạo, chỉnh sửa và bình luận của gh issue và gh pr; người dùng cần quyền ghi vào repository đích. Cách này giúp agent đính kèm media mà không phải tạo một kho công khai phụ chỉ để hiển thị ảnh.

Đây là cách khắc phục đúng cho bài toán luồng làm việc, nhưng không tự động khiến mọi lần tải lên an toàn. Agent vẫn cần trỏ vào repository phù hợp, và người vận hành nên kiểm tra quyền truy cập cũng như nội dung ảnh trước khi gửi. Tổ chức dùng GitHub Enterprise Server cũng cần lưu ý tài liệu phát hành nói tính năng trong bản này chưa hỗ trợ nền tảng đó.

Với nhóm phát triển, bước xử lý thiết thực là cập nhật GitHub CLI lên bản có hỗ trợ --attach, rà soát cấu hình agent để không tự tạo repo public, và kiểm tra các tài khoản cá nhân của người từng commit vào repository nội bộ. Chỉ quét organization là chưa đủ: phần lớn trường hợp bị phát hiện nằm ngoài organization của doanh nghiệp.

Doanh nghiệp cần tìm ảnh đã lộ, không chỉ sửa quy trình

Nếu agent từng xử lý ảnh giao diện hoặc dữ liệu nội bộ, hãy rà soát repository, release và gist công khai dưới tài khoản nhân viên hiện tại lẫn người đã rời công ty. Tìm theo dấu hiệu công cụ đã dùng, như repository gitshot-images hoặc tag _gitshot, nhưng đừng coi việc không tìm thấy trong danh sách file là bằng chứng an toàn: ảnh có thể nằm trong release hoặc nơi khác.

Khi phát hiện ảnh chứa thông tin có thể nhận diện hoặc bí mật, cần gỡ bản công khai và các bản sao có thể kiểm soát, đồng thời thay thông tin xác thực hoặc dữ liệu nhạy cảm nếu chúng bị lộ trong ảnh. Việc xóa ảnh không thể đảm bảo người khác chưa tải bản sao, nên phản ứng cần dựa vào nội dung thực tế đã xuất hiện.

Với lập trình viên, nguyên tắc đơn giản là không cấp cho agent quyền tạo kho công khai hoặc đăng vào tài khoản cá nhân để hoàn tất một tác vụ nội bộ. Nếu công cụ không thể đính kèm ảnh theo cách an toàn, agent nên báo giới hạn và chờ người dùng quyết định thay vì tự chọn một đích công khai.

Nguồn tham khảo: Glow Labs; GitHub Changelog; GitHub Docs; The Hacker News; Tom’s Hardware