Snímky PixelLeak na GitHube odhaľujú riziko verejného ukladania

Snímky PixelLeak na GitHube označujú zistenia spoločnosti Glow Security o interných obrazovkách, ktoré sa mali dostať do verejne dostupných repozitárov. Glow 29. septembra 2026 uviedla, že našla viac než 13 000 snímok spojených s 343 organizáciami. Nejde o potvrdené zneužitie zraniteľnosti ani o aktívny útok na GitHub, ale o únik dát cez verejné zverejnenie výstupov vývojových nástrojov alebo AI agentov.

Podľa Glow mohli snímky obsahovať interné vývojové prostredia, dashboardy, osobné či finančné údaje, poverenia a informácie o nevydaných produktoch. Nezávislé reportáže The Hacker News a The Register zhodne opisujú scenár, pri ktorom sa obrázky z privátnych prostredí objavili vo verejných repozitároch, často pod osobnými účtami vývojárov namiesto firemných GitHub organizácií.

Snímky PixelLeak na GitHube a úloha nástrojov

Časť opísaných prípadov súvisí s projektom gitshot. Jeho vlastná dokumentácia uvádza, že pri použití autentifikovaného GitHub CLI nástroj štandardne vytvorí verejný repozitár s názvom gitshot-images. Obrázky následne nahráva ako GitHub Release Assets.

Dokumentácia gitshotu zároveň výslovne upozorňuje, že predvolený verejný backend nie je určený pre prihlasovacie údaje, interné dashboardy ani súkromné dáta. Takáto konfigurácia môže viesť k verejnému sprístupneniu snímok pri použití nástroja vo vývojových pracovných postupoch.

Glow prípady spája aj s AI kódovacími agentmi alebo nástrojmi, ktoré ich podporujú. Nie je však možné každý nález všeobecne priradiť ku konkrétnemu AI modelu či agentovi. Dostupné informácie ukazujú, že časť expozícií súvisela priamo s nástrojom gitshot a jeho predvolenou konfiguráciou.

Prečo môžu verejné repozitáre uniknúť kontrole

Rizikom nie je iba samotný obsah snímok, ale aj miesto ich uloženia. Verejné repozitáre vytvorené pod osobnými účtami vývojárov môžu uniknúť kontrole zameranej na firemné GitHub organizácie. Pri automatizovaných pracovných postupoch môže nástroj alebo agent splniť úlohu uloženia či priloženia obrázka vytvorením samostatného verejného úložiska.

Prípad preto neopisuje vzdialené vykonanie kódu ani prelomenie ochrany platformy GitHub. Ide o problém kontroly nad odosielaním dát: citlivý výstup sa môže dostať na verejné miesto v dôsledku konfigurácie nástroja alebo pracovného postupu.

Rozsah zistení zatiaľ nie je nezávisle prepočítaný

Počet viac než 13 000 snímok a 343 dotknutých organizácií pochádza od Glow Security. Verejne overiteľná metodika, úplný zoznam nálezov ani nezávislý prepočet neboli sprístupnené. Nie je známe ani to, či snímky stiahli alebo použili iné osoby než výskumníci a dotknuté organizácie.

Dotknuté tímy môžu preveriť verejné repozitáre a Release Assets aj mimo firemných organizácií, najmä na účtoch používaných pri vývoji. Pri nájdení citlivého obsahu je relevantné odstrániť verejné súbory a pri možnom zverejnení poverení ich vymeniť. Dokumentácia gitshotu už teraz jasne uvádza, že jeho predvolený verejný spôsob ukladania sa pre citlivé dáta používať nemá.

Ďalší vývoj bude závisieť od toho, či Glow zverejní metodiku alebo vzorku nálezov a či upraví uvádzaný rozsah. Očakávať možno aj vyjadrenia GitHubu a výrobcov kódovacích agentov k bezpečnému prikladaniu obrázkov do súkromných pull requestov, rovnako ako prípadné zmeny predvolených nastavení či varovaní v projekte gitshot.

Overené a aktualizované: 30. 09. 2026 15:31