Gheist：850 个被盗 GitHub token，agent 手里的 token 是下一个靶子

Wiz Research 周日发布了 Gheist 的分析报告。这是一场从 9 月 15 日开始被追踪的攻击，规模化滥用被盗的 GitHub token。Wiz 的统计是：超过 850 个被攻破的账号，种下了超过 13500 个分支。截至 10 月 24 日，涉事账号里大约三分之二已经在 GitHub 上不可用了。

防守方需要知道的套路是这样：拿到一个 token，攻击者就往这个 token 能碰到的每个仓库提交一个 workflow。这个 workflow 会把仓库的 secrets 暴露在自己的运行日志里，日志通过 GitHub API 拉走，几秒后运行记录就被删掉。Wiz 指出这里有两个假设失效了。GitHub 的日志打码只认原样出现的 secret，编码过的值就漏过去了。限制 job 自己那个 token 的权限，也限制不了它读 secrets。而且所有东西都是走 GitHub 自己的 API 出去的，根本没有攻击者域名可以拦。Wiz 说 GitHub 最近的一个管控能在公开仓库挡住它，私有仓库和企业仓库挡不住。

Wiz 没说这和 agent 有关，这也不是一次 AI 攻击。放在这里，是因为现在手里拿着 GitHub token 的是谁。coding agent 经常带着一个能推分支、能改 .github/workflows 的个人 token 在跑，权限往往覆盖这个人能访问的所有仓库。上周 LiteLLM 的事故复盘是同一个形状：一个 agent 平台拿着组织 owner 的、没限定范围的 token。一个 token，就是全部的攻击面。

能做的事情不多，但都很具体。给 agent 用细粒度、按仓库授权、短期有效的 token，别给它你的个人 token。没有人工批准，不允许 agent 改 workflow 文件。把 secrets 挪到按环境划分、需要审批人的那一类。然后去组织的审计日志里查一下，有没有叫 sync-check 的 workflow，或者突然在很多仓库同时冒出来的新分支。这和上周 1Password、Google 发布 agent 凭证产品时讲的是同一课，凭证要放在 agent 外面，只不过这次有一场真实的攻击给它作证。

Wiz 报告：https://www.wiz.io/blog/gheist-attempted-scaled-abuse-of-stolen-github-tokens-stumbles HN：https://news.ycombinator.com/item?id=50235010