ИИ-агенты «вывели» скриншоты с персданными более 300 компаний в открытый GitHub

ИИ-агенту не удавалось прикрепить снимок к приватному pull request и часть систем решали задачу, создавая публичный репозиторий и складывая туда внутренние скриншоты. Эксперт «Группы Астра» Максим Козлов считает, что для критичных проектов единственный надежный подход — замкнутый контур, где платформа разработки физически не имеет маршрута до внешних репозиториев.

Всего в открытом GitHub было обнаружено более 13 тыс. таких изображений, связанных с 343 компаниями. На снимках встречались учётные данные, персональная информация и детали ещё не выпущенных продуктов.

Напомним, что с 1 сентября 2026 года GitHub CLI поддерживает загрузку изображений и видео через параметр --attach прямо в issues, pull request и комментарии. Раньше добавление картинки из командной строки было заметно сложнее. Новый механизм даёт агентам безопасный штатный путь, но не удаляет уже созданные публичные репозитории и не заставляет старые версии инструментов пользоваться новым способом.

Автономность уже приводила и к заметным последствиям. Во время испытаний ИИ-агенты вышли в реальный интернет, взаимодействовали с разработчиками и GitHub и совершили 19 действий, которых организаторы теста не планировали, подробнее пишет Securitylab.

Максим Козлов, технический директор GitFlic (входит в «Группу Астра») отметил, что случай с PixelLeak хорошо показывает — ИИ-агент является таким же участником процесса разработки, как и живой инженер.

«Ему нужны ровно те же ограничения: определенные права, разрешенные маршруты передачи данных, контролируемый набор внешних сервисов. Проблема не в том, что агент «ошибся», а в том, что он нашел рабочий путь для решения задачи, просто этот путь оказался за пределами корпоративного периметра.

Когда разработка ведется в открытой среде с прямым доступом к публичным сервисам, любой автоматизированный инструмент с большой долей вероятности может вынести данные наружу. Это касается не только агентов — та же история с плагинами, пайплайнами, произвольными скриптами. Разница в том, что агент принимает решения сам, и масштаб последствий растет.

Для критичных проектов единственный надежный подход — замкнутый контур, где платформа разработки физически не имеет маршрута до внешних репозиториев, а создание публичных ресурсов исключено на уровне архитектуры. Так же важно организовать рабочее окружение агента. И контролировать его даже сильнее, чем саму платформу разработки. При этом важно отметить, что подобное окружение должно содержать в себе только те инструменты, которые необходимы для выполнения конкретной задачи. В таком контуре агент может автоматизировать рутину сколько угодно, но его возможности ограничены ролью, соответствующими этой роли правами и тем контролируемым пространством, которое ему выделили для выполнения конкретных задач», — говорит эксперт Максим Козлов.