AI-агенти випадково виклали тисячі секретних скриншотів компаній у GitHub

Кібербезпекова команда Glow Security виявила масштабну проблему, яку назвала "PixelLeak". Дослідники знайшли понад 13 000 скриншотів у публічних репозиторіях GitHub, пов'язаних із роботою AI-агентів для розробки програмного забезпечення. Про це пише Techradar.

Як AI-агенти почали публікувати корпоративні дані?

Зображення походили більш ніж від 300 компаній, а загалом дослідникам вдалося ідентифікувати 343 організації, які могли втратити таким способом внутрішню інформацію. Під проблему потрапили понад 900 репозиторіїв.

Серед постраждалих або потенційно постраждалих організацій, за даними Glow Security, були "одна з найбільших технологічних компаній у світі, передова AI-лабораторія, великий постачальник корпоративного програмного забезпечення та туристична компанія зі списку Fortune 500".

Проблема виникла не через навмисну атаку. AI-агенти намагалися виконати завдання, яке їм поставили розробники, але для цього обирали спосіб, що створював серйозні ризики для конфіденційності.

Чому AI взагалі завантажував скриншоти у відкритий доступ?

Сценарій, який описують дослідники, досить простий. Розробник просив AI-агента продемонструвати, що внесені ним зміни справді працюють. Наприклад, йшлося про виправлення елемента інтерфейсу. Для перевірки результату потрібно було показати стан програми до та після внесення змін.

Для звичайного розробника GitHub має відповідний інструмент. Сервіс дозволяє додавати зображення безпосередньо до опису pull request через вебінтерфейс.

Однак AI-агенти працюють інакше. Вони переважно використовують текстові інструменти командного рядка, тому не мають такого самого способу прикріплення зображень до запиту на перевірку коду.

Замість того щоб зупинитися на цьому обмеженні, агенти почали шукати альтернативне рішення. Дослідники Glow Security пояснюють, що агенти створювали або використовували окремий публічний репозиторій, куди завантажували необхідні PNG-файли. Після цього посилання на зображення можна було використати під час перевірки змін.

Для AI завдання фактично було виконано. Але агент не врахував, що репозиторій є публічним, а отже, побачити завантажені туди файли може не лише внутрішній рецензент.

Один із проаналізованих агентів навіть залишив детальне пояснення свого рішення. У ньому він зазначив, що приватний репозиторій не дозволяв відображати зображення у pull request, тому створив новий публічний репозиторій sweeper-demo/pr-assets, де розмістив два скриншоти. Таким чином, AI правильно зрозумів технічне обмеження GitHub і знайшов спосіб його обійти, але не врахував вимогу конфіденційності.

Які дані могли потрапити у відкритий доступ?

Наслідки PixelLeak виявилися значно серйознішими, ніж просто публікація демонстраційних зображень. Glow Security повідомила, що серед доступних скриншотів були матеріали, пов'язані з внутрішніми програмними продуктами та розробкою корпоративного програмного забезпечення.

В одному з випадків AI-агент працював над виправленням внутрішнього екрана білінгової системи виробничої компанії, де працює понад 100 000 людей. Агент виконав поставлене завдання, а потім завантажив скриншоти як доказ результату в публічний репозиторій, який належав особистому GitHub-акаунту розробника.

В іншому випадку дослідники виявили серед опублікованих зображень платіжні записи комунальної компанії. За словами Glow Security, ці дані були пов'язані з виправленням інтерфейсу. Особливість таких витоків полягає в тому, що файли не обов'язково з'являлися в корпоративній інфраструктурі GitHub. Вони могли опинитися в особистому публічному акаунті конкретного розробника. Через це корпоративна команда безпеки могла навіть не знати про їх існування.

Саме тому проблему складно виявити традиційними засобами контролю. Організація може перевіряти власні репозиторії, але не обов'язково бачить, що AI-інструмент співробітника опублікував внутрішній скриншот у сторонньому або особистому репозиторії.

До витоків міг бути причетний окремий інструмент

Дослідники також простежили частину випадків до невеликого інструмента з відкритим кодом під назвою gitshot. Він призначений для публікації скриншотів, які використовуються під час перевірки коду.

За оцінкою Glow Security, приблизно третина організацій, яких торкнулася проблема, мала розробників, що використовували gitshot.

AI-агенти кількох великих компаній використовували цей інструмент, щоб обійти обмеження командного рядка GitHub. Скриншоти публікувалися зі спеціальним тегом _gitshot, після чого їх могли знайти сторонні користувачі. Загалом дослідники виявили понад 100 публічних акаунтів, через які таким способом могли витікати матеріали внутрішньої розробки.

Чому "Shadow AI" створює додаткові ризики?

PixelLeak демонструє проблему, яка виходить за межі конкретного AI-агента або GitHub. Йдеться про ширше поширення так званого Shadow AI – використання працівниками AI-інструментів без належного контролю з боку корпоративної IT- та безпекової інфраструктури.

AI-агентам часто надають значно більше автономності, ніж звичайним чат-ботам. Вони можуть запускати команди, працювати з файлами, змінювати код, створювати репозиторії та використовувати зовнішні сервіси. У результаті агент може виконати поставлену задачу буквально, але не зрозуміти, які дані не можна виносити за межі організації. Якщо додаткових обмежень немає, технічне рішення проблеми може одночасно стати проблемою безпеки.

Glow Security повідомила, що зв'язалася з усіма організаціями, які вдалося ідентифікувати. Водночас дослідники наголошують, що повний масштаб проблеми може бути більшим.

Компаніям рекомендують перевірити, де саме їхні AI-інструменти можуть публікувати файли, посилити налаштування безпеки, контролювати використання несанкціонованих AI-сервісів і запровадити обмеження для AI-агентів під час їх роботи.

Особливу увагу варто приділити середовищу виконання таких агентів. Навіть якщо модель не має наміру розкривати секретні дані, вона може самостійно знайти технічний спосіб виконати завдання, який розробник не передбачав. Дослідження PixelLeak у такому контексті показує одну з ключових проблем автономного AI: модель може бути не зловмисною, але її дії все одно здатні створити реальний витік конфіденційної інформації.