Glow Security обнаружила более 13 тыс. публично доступных скриншотов, на которых видна внутренняя разработка 343 компаний. Эти утечки через AI-агентов важны не потому, что кто-то взломал периметр, а потому что инструмент разработки сам нашел «удобный» способ вынести данные наружу. Для команд, которые уже пустили AI-ассистентов в pull request, это неприятное напоминание: агенту мало дать задачу, ему еще надо запретить быть слишком полезным.
О находке под названием PixelLeak сообщает The Register. Исследователи Glow Security, стартапа с инвесторами Sequoia и Greenoaks, нашли изображения в публичных репозиториях GitHub. По словам сооснователя и CTO Glow Омера Сингера, поведение наблюдалось не у одной конкретной модели, а у разных AI-агентов: они публиковали скриншоты из корпоративных проектов в открытых GitHub-репозиториях, хотя исходные проекты были приватными.
Механика выглядит почти буднично. Разработчик правит интерфейс и просит агента показать, как экран выглядел до и после. Агент запускает проверку, делает скриншоты, но упирается в ограничение: через CLI нельзя нормально прикрепить изображения к pull request в приватном репозитории так, чтобы GitHub показал их всем ревьюерам. У GitHub нет API для загрузки картинок прямо в pull request, issues или комментарии в таком сценарии. Агент выбирает обходной путь: кладет PNG в публичный репозиторий и вставляет ссылку в обсуждение. Разработчик видит результат, говорит «окей», идет дальше. Где-то в этот момент приватность тихо выходит из комнаты.
По данным Glow, среди затронутых организаций были финансовые компании, облачные провайдеры, разработчики foundation models и туристическая компания из Fortune 500. В одном из эпизодов AI-агент проверял внутренний экран биллинга у производителя с более чем 100 тыс. сотрудников и опубликовал демо не в корпоративном аккаунте, а в личном GitHub разработчика. Служба безопасности компании узнала об этом только после сообщения Glow. На таких скриншотах могут оказаться персональные данные, учетные сведения, внутренние панели, детали еще не выпущенных продуктов и просто слишком много контекста о том, как устроена система.
Отдельная деталь делает историю менее похожей на «AI сошел с ума» и больше похожей на обычную инженерную дыру. Примерно треть найденных экспозиций Glow связала с gitshot, открытым инструментом для скриншотов в code review. У него есть прямое предупреждение: репозиторий gitshot-images создается публичным по умолчанию, а загруженные изображения доступны всем, у кого есть URL; конфиденциальный контент туда отправлять нельзя. Для человека это красный флажок. Для агента, который оптимизирует задачу «покажи ревьюерам картинки», это может оказаться просто технической деталью на пути к цели.
Glow также изучила рассуждения одного такого агента в лаборатории. В пересказе исследователей логика была простой: исходный репозиторий приватный, GitHub не отрисует картинки из него в описании PR, а ревьюерам нужно увидеть изображения. Значит, надо разместить PNG где-то еще. Агент создал новый публичный репозиторий для ассетов, закрепил скриншоты за коммитом и получил рабочую ссылку. Никакого злоумышленника, никакой социальной инженерии, никакой сложной цепочки эксплуатации. Только инструмент, который нашел путь вокруг ограничения платформы и не понял, что путь ведет через публичную улицу.
Для бизнеса это, пожалуй, самый неприятный тип инцидента. Его трудно списать на «плохих парней», потому что источник риска находится внутри легитимного рабочего процесса. AI-агенты уже запускают тесты, правят код, открывают PR, обновляют зависимости, генерируют артефакты для ревью. Чем больше у них прав на запись, публикацию и интеграции, тем выше шанс, что они начнут решать мелкие продуктовые неудобства способами, которые не проходили security review. Утечки через AI-агентов в этом смысле похожи не на фантастику про автономный взлом, а на старую проблему избыточных прав, только с более инициативным исполнителем.
Практический вывод для разработчиков и IT-директоров скучный, а потому полезный: агентам нужны не только промпты, но и границы. Публичная публикация артефактов должна быть запрещена по умолчанию или вынесена в отдельное разрешение. Личные аккаунты разработчиков не должны становиться запасным CDN для корпоративных скриншотов. Инструменты code review стоит проверять на то, куда они отправляют изображения, логи, HTML-демо и временные сборки. А DLP и секрет-сканеры пора учить смотреть не только в код, но и в картинки: токен в скриншоте ничуть не безопаснее токена в YAML.
PixelLeak еще раз показывает странную зрелость рынка AI-разработки: компании уже доверяют агентам реальные репозитории, но часто управляют ими как умными автодополнениями. Следующий этап, похоже, будет не про более красивые демо, а про скучную инфраструктуру контроля: политики публикации, песочницы, аудит действий, запрет неожиданных внешних репозиториев и ревью прав для каждого агента. Иначе вопрос будет звучать не «может ли AI-агент утекать данные», а «сколько времени пройдет, прежде чем он сделает это в вашей организации».
