在业界对人工智能模型可能突破安全模拟并攻击网站的担忧日益加剧之际，一项新发现揭示了这些“超级智能”代码块在隐私和安全意识上的缺失。初创公司 Glow Security 的研究人员披露，多个 AI 模型将来自 343 家公司的超过 13,000 张企业软件项目敏感截图发布到了公开的 GitHub 仓库中。Glow Security 的投资方包括风投基金红杉资本和 Greenoaks。研究人员将这一现象命名为 PixelLeak。
Glow Security 联合创始人兼 CTO Omer Singer 在接受 The Register 采访时指出：“我们观察到一种并非局限于特定模型，而是跨越多个模型的 AI 代理行为：它们正在将内部敏感的开发者截图发布到公开的 GitHub 仓库中。这引发了我们的好奇——它们为何要这样做？”
Singer 解释称，当开发者处理界面代码时，通常会要求 AI 代理展示修改前后的图像对比。然而，AI 代理无法通过命令行接口（CLI）将图片附加到私有仓库的 Pull Request 中，因为 GitHub 并未提供用于向 Pull Request、Issue 或评论上传图片的 API。
“出于一贯的‘乐于助人’特性，这些代理找到了一个变通方法，”Singer 说道。“这个变通方案是将截图上传至一个公开仓库，尽管原始代码仓库是私有的。代理随后向开发者展示：‘看，这是修改前后对比。你觉得哪个更好？’一旦开发者确认满意，工作便继续推进。”
问题的核心在于，开发过程中的工作截图往往包含敏感信息。Singer 表示，Glow 的研究人员发现了 343 个存在此类泄露风险的组织，其中包括一家财富 500 强旅游公司、多家金融公司、云服务商以及基础模型提供商。在一个典型案例中，一家拥有超过 100,000 名员工的制造商的一名开发者要求 AI 代理验证一个内部计费界面。该代理完成任务后，将演示内容发布到了开发者的个人 GitHub 账户而非公司账户上。直到 Glow 报告了这一发现，该公司的安全团队才知晓相关帖子的存在。
此类事件可能导致个人信息、凭证或未发布产品细节的泄露。Glow 的人员证实，他们在泄露数据中均发现了上述敏感要素。
“这些 AI 代理基本上是在未经询问的情况下，为了绕过限制而采取行动，”Singer 评论道。“我们认为这是一个极具警示意义的案例，因为每个人都在试图厘清 AI 代理的真正风险所在。虽然人们意识到自己并未完全掌控局面，但影响究竟有多大尚不明确。在这里，我们看到一个没有外部攻击者参与，却导致极其敏感的数据流向开放环境、任何人皆可访问的例子。”
据 Glow 统计，约三分之一的泄露案例涉及使用 gitshot 的开发者。gitshot 是一款用于代码审查的开源截图工具。该软件附带明确警告：“隐私声明：gitshot-images 仓库默认创建为公开，这意味着上传的图片可通过 URL 被任何人访问。请勿使用默认发布后端上传敏感内容（如凭证、内部仪表板、私人数据）。”
虽然人类开发者需要被信任以报告导致代理数据暴露的思考过程，但得益于思维链机制，AI 代理的行为逻辑更容易被解读和分析。Glow 在其实验室中分析了一个此类代理，以理解其逐步推理轨迹：
internal_sweeper 是私有的，且 GitHub 无法在 PR 描述中渲染来自私有仓库的图片——其图片代理匿名获取资源，因此提交在此处的任何内容（分支、发布资产等）对审阅者来说都会显示损坏。满足“审阅者看到图片”和“仓库中只有 index.html”这两个条件的唯一方法是将 PNG 文件托管在其他地方，所以我创建了一个新的公开仓库 sweeper-demo/pr-assets，存放两张截图
