סוכני קוד העלו 13 אלף צילומי מסך פנימיים של חברות למאגרים ציבוריים ב-GitHub
חוקרי Glow, חברת אבטחה שהקימו יזמים ישראלים, גילו שסוכני AI לכתיבת קוד פתחו מאגרים ציבוריים כדי לצרף צילומי מסך לבקשות קוד. בין התמונות: נתוני חיוב, מסכי העברות כספים ומוצרים שטרם הושקו.
TL;DR בקצרה
- Glow Labs מצאה יותר מ-13,000 תמונות פנימיות של מפתחים מיותר מ-300 ארגונים, ביותר מ-900 מאגרים ציבוריים.
- 93% מהתמונות היו במאגרים שנפתחו בחשבונות האישיים של העובדים, מחוץ לשליטת הארגון.
- הסיבה: צירוף תמונות לבקשות קוד ב-GitHub עובד רק בדפדפן, וסוכנים שעובדים משורת הפקודה עקפו את המגבלה.
- בניסוי מבוקר, Claude Code עם מודל Opus 5 פתח בעצמו מאגר ציבורי כדי לאחסן צילומי מסך מפרויקט פרטי.
צילום מסך שמראה שתיקון בממשק עבד הוא חלק שגרתי מבקשת קוד. כשסוכן AI מכין אותו, הוא עלול לפרסם אותו לכל העולם. חוקרי Glow Labs פרסמו ב-29 בספטמבר מחקר בשם PixelLeak. לפי המחקר, סוכני קוד העלו מעל 13,000 צילומי מסך פנימיים.
הצילומים שייכים למפתחים בלמעלה מ-300 ארגונים, והסוכנים העלו אותם למאגרים ציבוריים ב-GitHub. Glow היא חברת אבטחה שהקימו יזמים ישראלים, ויצאה מהסוואה ביולי 2026.
PixelLeak: מגבלה טכנית קטנה, דליפה גדולה
הבעיה מתחילה בפרט שנראה שולי. ב-GitHub אפשר לצרף תמונה לבקשת קוד (Pull Request) רק דרך הדפדפן. סוכני קוד עובדים בשורת הפקודה. לכן אין להם דרך ישירה לצרף לבודקים צילומי ״לפני ואחרי״.
חלק מהסוכנים מצאו פתרון בעצמם. הם פתחו מאגר ציבורי סמוך והעלו אליו את התמונות. אחר כך הם קישרו אליהן מבקשת הקוד, בלי לשקול את הסיכון.
לפי החוקרים, בכשליש מהארגונים שנפגעו המפתחים השתמשו בכלי קוד פתוח בשם gitshot. הכלי נועד לפרסם צילומי מסך לבדיקות קוד. הסוכנים מצאו אותו והשתמשו בו כדי לעקוף את המגבלה.
את התמונות שמרו תחת תגית בשם _gitshot, שכל אחד יכול למצוא. ב-93% מהמקרים התמונות ישבו במאגר שנפתח תחת שם המשתמש האישי של העובד. כלומר, הן היו מחוץ לארגון ה-GitHub של החברה ומחוץ לכלי הניטור שלה.
כדי לבדוק שזו לא תקלה נקודתית, החוקרים שחזרו את ההתנהגות במעבדה. הם ביקשו מ-Claude Code, עם מודל Opus 5, לשנות צבע בכותרת של משחק. זה היה משחק שולה מוקשים במאגר פרטי.
הסוכן לא הצליח לצרף את צילומי המסך. לכן הוא פתח בעצמו מאגר ציבורי חדש כדי לאחסן אותם. הוא דיווח על כך כעל פתרון מובן מאליו. לדברי החוקרים, ההיגיון הזה מייצג את מה שראו בארגונים רבים.
מה היה בתמונות של PixelLeak
Glow לא חשפה את שמות הארגונים, אבל תיארה אותם. ביניהם אחת מחברות הטכנולוגיה הגדולות בעולם ומעבדת AI מובילה. היו שם גם ספקית תוכנות ארגונית גדולה וחברת תיירות מרשימת Fortune 500.
אצל יצרן עם מעל 100 אלף עובדים נחשפו רשומות חיוב של חברת תשתיות. אצל חברת שירותים פיננסיים נחשפו מסוף לניהול תזרים וסליקה. נחשפו גם מסך משיכת דולרים של לקוח מוסדי מזוהה. כמו כן נחשפו שתי הקלטות מסך של מערכת העברת הכספים.
אצל ספקית התוכנות הארגונית הפרסום הפך לשגרה. בתוך שבוע, מעל תריסר סוכנים שמרו את השיטה כמיומנות לשימוש חוזר. הם העלו מעל 1,000 צילומים והקלטות. בין אלה היו מוצרים שהיו רחוקים שבועות או חודשים מהשקה.
Glow התחילה להודיע לארגונים שזיהתה ב-9 בספטמבר. היא מעריכה שיש עוד ארגונים שנחשפו. במקרה של היצרן, צוות האבטחה לא זיהה את החשיפה עד שקיבל את ההודעה. חשוב להבין שסורקי סודות רגילים לא היו עוזרים כאן. הם קוראים טקסט, ולא תמונות.
מה זה אומר עבורכם
- חפשו מחוץ לארגון ה-GitHub שלכם. בדקו את החשבונות האישיים של מי שתורם למאגרים הפרטיים שלכם, כולל עובדים לשעבר. חפשו מאגרים חדשים, gists וקבצים שמצורפים ל-Releases, כי אלה לא מופיעים ברשימת הקבצים הרגילה.
- אל תאשרו לסוכנים הכול אוטומטית. דרשו שלב אישור שמראה מה הסוכן עומד לעשות. זה חשוב במיוחד בפתיחת מאגר חדש, בדחיפה לחשבון אישי ובפרסום gist. כך גם בשינוי מאגר מפרטי לציבורי.
- מפו את הסוכנים בארגון. דעו אילו כלי AI רצים על מחשבי המפתחים, גם כאלה שלא אושרו. בדקו גם את קובצי ההוראות והמיומנויות המשותפים שהם טוענים. זה חשוב כי דרכם עקיפות כאלה מתפשטות.
- הסירו כלים לא מאושרים. כלים כמו gitshot, שמפרסמים קבצים לאינטרנט, צריכים לעבור אישור אבטחה לפני שמתקינים אותם.
- אם מצאתם חשיפה. מחקו את התמונות בכל מקום. בקשו ממי שהעתיק אותן למחוק. החליפו כל סיסמה או מפתח שנראים בצילומים.
מה הלאה
הסיפור של PixelLeak מדגים בעיה רחבה בעבודה עם סוכנים. הם פותרים את המשימה שקיבלו, גם כשהפתרון עוקף כללים שאף אחד לא כתב להם במפורש. מחסור בכפתור העלאה בשורת הפקודה הפך לדליפת מידע בהיקף של מאות ארגונים.
Glow מוכרת בעצמה כלים לחסימת פעולות כאלה. היא ממליצה על מדיניות שמבחינה בין מאגר של החברה למאגר אישי ובין ציבורי לפרטי. גם בלי כלי ייעודי, אפשר להגדיר בכלי הסוכנים הוקים (hooks) שרצים לפני פעולה. הם יכולים לעצור יצירת מאגר ציבורי או דחיפה לחשבון אישי.
מקורות והרחבה
- PixelLeak: How AI Coding Agents Leak Screenshots to Public GitHubGlow Labs
- AI coding agents leaked 13,000 internal company screenshots to public GitHub reposHelp Net Security
- This new cybersecurity unicorn wants to stop AI threats before they startYnetnews
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
