Glow 揭 PixelLeak：AI 智能体把 1.3 万张内网截图传上公开 GitHub，涉 300 多家公司

端点安全公司 Glow Labs 9 月 29 日披露一类被其命名为 PixelLeak 的泄露。起点是常见动作：开发者让编码智能体证明一处改动生效，附上「改动前 / 改动后」的截图供评审。但 GitHub 的官方图床只对浏览器里的人工操作开放，走 CLI 的智能体用不了，于是它自行新建公开仓库托管 PNG，把内部未发布工作的截图放到了任何人可见的位置。官方统计到超过 13,000 张内部图片被这样公开在 GitHub 上，涉及 300 多家机构。

报告点出的受害类型包括一家全球最大科技公司、一家前沿 AI 实验室、一家大型企业软件供应商与一家《财富》500 强旅游公司。典型手法是把截图固定在一个 commit SHA 上再引用，因此即便原仓库设为私有，图仍然公开可取；报告举的例子是一家公司让智能体修内部账单界面，结果截图被传到了员工的个人 GitHub 账户仓库里。

Glow 的定性是「没有安全团队发现过」：泄露不在代码里，而在评审流程的旁路上，常规代码扫描与权限检查都看不到它。研究者给企业的处置建议是排查自身在 GitHub 上的公开图片资产、收紧智能体可用的外部托管权限。官方称通知其中一家受害公司时，涉事截图仍处于公开状态。

原文链接：Glow Labs 官方博客