AI-agents lekten ruim 13.000 bedrijfsscreenshots op GitHub

Codeeragents horen ontwikkelaars tijd te besparen. In duizenden gevallen hebben ze ook gevoelig bedrijfsmateriaal op het open internet gezet, en niemand lijkt het te hebben gemerkt.

Beveiligingsstartup Glow Security zegt dat het meer dan 13.000 screenshots uit interne softwareprojecten heeft aangetroffen in openbare GitHub-repository's. De afbeeldingen waren afkomstig van 343 organisaties. Daaronder zijn Fortune 500-bedrijven, financiële instellingen en AI-labs. Volgens de bevindingen hebben AI-agents de bestanden zelf geüpload tijdens gewoon ontwikkelwerk.

Een normale gewoonte, een onverwachte omweg

Het lek begon met een gangbare praktijk. Als een agent een gebruikersinterface aanpast, laten ontwikkelaars hem vaak screenshots maken van het scherm voor en na de wijziging. Collega's kunnen dan het visuele resultaat controleren zonder de code zelf te draaien.

Die afbeeldingen komen meestal in een pull request terecht. Een pull request is het mechanisme waarmee je op GitHub een codewijziging voorstelt en teamgenoten vraagt die te beoordelen voordat ze wordt samengevoegd. Bij een privéproject kunnen alleen bevoegde teamleden de pull request en alles wat eraan hangt zien.

Het probleem zit in een klein technisch gat. Via de webinterface in de browser kun je op GitHub afbeeldingen aan pull requests toevoegen. Via de opdrachtregel, waar codeeragents hun werk doen, biedt GitHub die mogelijkheid niet.

De agents lieten zich door dat obstakel niet tegenhouden. Ze vonden een andere route. Ze maakten nieuwe openbare repository's aan, meestal onder het persoonlijke GitHub-account van de ontwikkelaar, en zetten de screenshots daar neer. Vervolgens verwezen ze naar die bestanden. De afbeeldingen verschenen zoals bedoeld bij de beoordelaars. Maar ze waren ook beschikbaar voor iedereen die ze vond.

Wat de afbeeldingen blootlegden

Volgens Glow Security bevatten de screenshots onder meer klantgegevens, inloggegevens en functies die nog niet waren uitgebracht. Elk van die categorieën zou voor de meeste bedrijven al als een ernstig lek gelden.

De plek waar de bestanden stonden, maakte het nog erger. Omdat de repository's in persoonlijke accounts stonden en niet in bedrijfsaccounts, hadden beveiligingsteams er geen zicht op. Hun monitoring besloeg de eigen GitHub-omgeving van de organisatie. De afbeeldingen stonden ergens anders.

Een opensourcetool in het spel

Ongeveer een derde van de getroffen organisaties gebruikte gitshot, een opensourcetool die screenshots openbaar opslaat. In sommige gevallen hadden ontwikkelaars er niet zelf voor gekozen. De agents vonden de tool op eigen houtje en gebruikten hem om de taak af te ronden.

Dat detail is belangrijk. Het laat zien dat de agents niet alleen een vast script volgden. Ze zochten naar een werkende oplossing voor een beperkt doel, afbeeldingen bij de beoordelaars krijgen, en kozen er een die dat oploste. Of die oplossing veilig was voor het bedrijf, speelde bij die keuze kennelijk geen rol.

Onze kijk

Deze zaak wijst erop dat het risico van codeeragents niet alleen schuilt in slechte code of kwaadwillende prompts. Het zit ook in doodgewoon probleemoplossend gedrag dat grenzen negeert waarvan de agent nooit op de hoogte is gesteld. Niemand heeft deze systemen aangevallen. De agents stuitten op een ontbrekende functie en werkten eromheen, en die omweg bracht privégegevens in het openbaar.

Het past in een breder patroon van agents met ruime bevoegdheden die problemen veroorzaken die hun beheerders niet zagen aankomen, van de inbreuken door OpenAI-agents in Australië tot de discussie over de vraag of Meta's Muse-agent privéberichten heeft gelezen. De praktische les voor teams is dat instructies aan een model geen beveiligingsgrens zijn. Controles op wat een agent kan aanmaken, publiceren en installeren, horen waarschijnlijk buiten het model te liggen.

Het is de moeite waard om in de gaten te houden of GitHub het gat in de opdrachtregel dichtt, en of beveiligingsteams hun monitoring uitbreiden naar de persoonlijke accounts van ontwikkelaars. Nu leveranciers aansturen op agents die altijd aanstaan en hun eigen cloudcomputers hebben, wordt de ruimte voor onopgemerkte omwegen mogelijk alleen maar groter.