🐙GitHub Blog•較早收集於 13m
GitHub 調查內部儲存庫未經授權的存取事件
💡關於 GitHub 內部系統的關鍵安全更新；請密切關注潛在的供應鏈或程式碼外洩風險。
⚡ 30-Second TL;DR
有什麼變化
GitHub 正在調查內部儲存庫遭未經授權存取的事件。
為什麼重要
此事件可能導致專有程式碼或敏感內部工具外洩，對於依賴 GitHub 進行 CI/CD 流程的開發者與企業而言至關重要。
下一步行動
檢查您的 GitHub 稽核日誌，並輪替所有可存取您組織儲存庫的敏感憑證或 API 金鑰。
誰應關注：Developers & AI Engineers
關鍵要點
- •GitHub 正在調查內部儲存庫遭未經授權存取的事件。
- •公司正積極監控是否對客戶造成潛在影響。
- •若客戶資料受影響，將透過官方事件回應管道進行通知。
🧠 深度解析
Web-grounded analysis with 6 cited sources.
🔑 增強重點摘要
- •此次未經授權的存取事件是透過一名GitHub員工裝置上安裝的惡意Visual Studio Code (VS Code) 擴充套件所引發的供應鏈攻擊。
- •攻擊者（TeamPCP）聲稱已取得約3,800至4,000個GitHub內部儲存庫，據稱包含GitHub Copilot、CodeQL演算法、GitHub Actions系統、GitHub Enterprise Server、紅隊工具及內部通訊邏輯通道的原始碼。
- •GitHub已迅速採取行動，包括移除惡意擴充套件、隔離受影響的端點，並輪換了關鍵金鑰和憑證，同時持續分析日誌以驗證金鑰輪換的完整性。
- •有未經證實的傳聞指出，Anthropic開發的高階AI資安模型「Mythos」可能協助攻擊者進行漏洞分析，引發外界對AI在網路攻防中角色的擔憂。
- •此事件促使資安專家建議開發者應立即檢查並輪換儲存在儲存庫中的所有API金鑰（即使是私有儲存庫），並避免安裝來源不明的VS Code擴充套件，以降低供應鏈攻擊風險。
🛠️ 技術深入
- 攻擊途徑為一名GitHub員工裝置上安裝的惡意Visual Studio Code (VS Code) 擴充套件，導致內部儲存庫遭到未經授權的存取。
- GitHub的應變措施包括：偵測並遏制入侵、移除惡意VS Code擴充套件版本、隔離受影響的端點、啟動事件回應流程、輪換關鍵金鑰和憑證（優先處理影響最大的憑證），以及持續分析日誌並驗證金鑰輪換的完整性。
- 攻擊者聲稱竊取了約3,800個內部儲存庫，這些資料可能包含GitHub平台本身的原始碼和內部組織資料，這可能使攻擊者能夠了解GitHub的內部架構，進而尋找潛在的邏輯漏洞、授權流程中的競爭條件或驗證錯誤。
- 此次事件凸顯了透過開發者工具和擴充套件進行供應鏈攻擊的重大風險。
🔮 前景展望AI analysis grounded in cited sources
此事件將加速開發者工具和擴充套件供應鏈安全措施的強化。
惡意VS Code擴充套件作為攻擊媒介，揭示了軟體供應鏈中的重大漏洞，將促使開發者和組織更嚴格地審查第三方工具和擴充套件。
GitHub可能會進一步加強其內部安全協議，特別是在員工裝置管理和第三方軟體使用方面。
由於入侵源於員工裝置的妥協，這表明需要更強大的端點安全、應用程式白名單以及針對擴充套件使用的用戶教育。
此事件可能推動對先進AI模型在網路安全攻防中應用的進一步討論和監管。
關於「Mythos」AI模型可能參與攻擊的未證實傳聞，突顯了人們對AI在擴大網路攻擊規模方面作用日益增長的擔憂，以及對高風險AI模型實施更嚴格控制的需求。
⏳ 時間線
2026-05-19
TeamPCP在暗網論壇聲稱擁有GitHub原始碼和內部資料。
2026-05-19
GitHub偵測並控制了一起涉及惡意VS Code擴充套件的員工裝置入侵事件。
2026-05-20
GitHub公開證實其內部儲存庫遭到未經授權的存取，並表示正在調查中。
2025-03-17
GitHub Actions供應鏈入侵事件，影響超過23,000個程式碼庫，涉及惡意的`tj-actions/changed-files`組件。
2024-06-21
報告指出「Gitloker」攻擊活動，透過竊取憑證和網路釣魚勒索GitHub專案儲存庫。
2020-03
駭客據報自2018年6月起持續攻擊微軟帳號，並從其員工在GitHub上的私人專案儲存庫獲取超過500 GB的檔案。
📎 來源 (6)
Factual claims are grounded in the sources below. Forward-looking analysis is AI-generated interpretation.
📰
AI 週報
閱讀本週精選 AI 大事摘要 →
👉相關動態
AI 策展新聞聚合。所有內容版權歸原始發布者所有。
原始來源： GitHub Blog ↗