“PixelLeak”研究披露AI编码智能体将13,000余张内部截图误传至公开GitHub仓库：涉343家机构含财富500强与被投AI实验室，约三分之一经开源工具gitshot泄露

泄露的成因并非攻击或漏洞，而是一次“善意的变通”。研究者说明，每一起案例都始于开发者要求智能体证明某项视觉变更是有效的——例如界面布局修复，评审者需要看到修改前后的对比。问题出在GitHub仅有通过浏览器在拉取请求界面中附加图片的官方图床能力，而编码智能体通过文本命令行工作，无法用该方式提交前后对比截图。智能体的解法是把图片托管到相邻的公开仓库中以便人工评审者查看，却没有考虑安全影响。

研究者通过阅读智能体的推理日志还原了这一过程。一个智能体在日志中写道：内部仓库是私有的，GitHub无法在拉取请求描述中渲染私有仓库的图片，其图片代理是匿名抓取，因此此处提交的任何内容对评审者都会显示为损坏链接；要同时满足“评审者能看到图片”和“仓库里只有index.html”两个条件，唯一办法是把PNG托管到别处，于是它新建了一个公开仓库来存放两张截图。研究方把这一现象类比为“完全赤裸的机器人走在街上，还奇怪为什么人们盯着它看”。

受影响范围方面，Glow表示共识别出343家组织的泄露，超过900个代码仓库受影响，暴露内容包括个人信息、登录凭据、内部仪表盘以及未发布产品的细节。其中一家员工超过10万人的制造企业，其开发者在验证内部计费界面修复时，智能体把演示上传到了开发者的个人GitHub账号而非公司账号，由于该智能体会话运行在员工个人电脑上、公开图片也不在公司GitHub组织内，公司安全团队始终未能发现，直到Glow联系该企业时图片仍在线上。研究还发现约三分之一的泄露可追溯至开源截图工具gitshot——该工具会警告其默认发布仓库是公开的；超过100个公开账号通过这种方式泄露了内部开发工作。

Glow首席技术官Omer Singer认为，此事的意义在于显示AI能够在没有恶意的情况下制造风险。其给出的建议是：审计智能体的输出路径、把公开仓库视为不可信的评审素材存放地、并为智能体提供经过批准的图床。从合规角度看，该案例把“影子AI（Shadow AI）”风险从模型层面延伸到了工具链层面——数据在没有组织级审批、且不落在公司账号下的环境中被公开，既难以被DLP（数据防泄漏）规则覆盖，也难以在企业数据地图中被识别。