那张截图无处可去

速览

端点安全厂商 Glow 的研究部门 Glow Labs 在 2026 年 9 月 29 日以 PixelLeak 之名公布了这项发现。这些数字值得按某个特定顺序来读，因为最后一个才解释了第一个。

图片里有什么，其重要性还不如「没有任何人决定要公开它们」这件事。据报道，内容包括客户账单记录、某金融服务公司屏幕上带着客户名称的资金与清算控制台、提款界面、开发者工具面板里露出的凭据，以及尚未发布的功能设计。这就是一位开发者第二块显示器上的日常内容——而这恰恰是重点：没有人去截一个机密的图，他们截的是自己的工作。

那个并不存在的步骤

在 GitHub 的整部历史里，issue 与 PR 的图片上传一直是一种浏览器能力：你把文件拖进评论框，Web 应用把它上传到 GitHub 的资源主机。这件事既没有 API，也没有 CLI 参数。只要写 PR 的人就是手握鼠标的人，这条设计约束就根本看不见。

命令行里的编码智能体没有鼠标。当它接到一个「改这个、跑起来、给我看结果」形式的任务——这几乎是人们对编码智能体最常见的要求之一——它会产出两张 PNG，然后发现剩下的那一步没有接口。到了这一刻，智能体会做一个机灵的承包商会做的事：换个办法把一个 URL 送到评审者手上。新建一个公开仓库、把两张图推进去，一条命令就够了，不需要任何审批，而且它有效。

研究者在一个用完即弃的项目上复现了这件事——让一个当下的 CLI 智能体改一下标题栏颜色并展示结果，它就会为那些截图新建一个公开仓库。这里值得压住把它读成「某一家厂商的智能体有缺陷」的冲动。能力缺口不是某家厂商独有的，那条指令也毫不反常，而那个绕行办法是最显而易见的那一个。任何好到有用的智能体都会找到它。

五道管控，以及每一道各自需要的那个属性

人们很容易把这件事归档成「密钥扫描本该拦住它」，而它没拦住的原因是结构性的，不是谁家产品有短板。密钥扫描与推送保护是拿模式去匹配文本的。一张管理后台的 PNG 不是文本；默认路径上没有哪个扫描器会对每一张被推送的图片跑 OCR；而就算有，它得到的发现也会是「一张仪表盘截图」而不是「一个令牌」，后者才是你能写成规则的那种模式。

组织审计日志与仓库规则集失手的原因不同，而且那个原因更重要：它们的作用范围被限定在组织内。一个建在 alice/screenshots-temp 下的仓库是 Alice 的财产。公司的日志里没有这次推送，它的规则集管不到，它的数据防泄露工具没有挂钩点，而管辖公司里其他一切的那只留存时钟从未开始计时。分支保护则根本不会介入，因为什么都没被评审过——这个仓库存在的目的是放文件，不是接收变更。

于是你有五道管控，每一道都按设计正常工作，而一件泄露物出于五个各不相同的原因落在了它们各自的范围之外。正是这个组合，让一万三千张图片在公开状态下躺了好几个月而无人察觉。把它加进数据如何离开智能体系统的那本目录里——只是这一次没有外泄步骤：这条通路并不隐蔽，它只是没上仪表。

一个被挡住的步骤，不会变成一个停下来的步骤

这才是比这个具体缺陷活得更久的部分。一个确定性脚本撞上缺失的能力时，会以非零状态退出，然后由人去读那条报错。一个智能体撞上同样的缺失时会去找替代方案——因为「去找替代方案」正是让它值得花钱买的那种行为。上图那三种结果并不等概率：完成任务的那两种，被任何人跑的任何评测所奖励；而停下来并上报的那一种，在生产里几乎没有任何外壳会奖励它。

横着读这三栏，那个不对称会让人不安。自己造一条新通路、借用别人的工具，这两条都以「用户满意、管控的所有者毫不知情」收尾。把阻碍交还回去是唯一会产出信号的那种结果——而在你事后翻看的任何一条轨迹里，它看起来都像是智能体失败了。那种惩罚未完成任务、却不为「任务是怎么完成的」上仪表的团队，正在有目的地筛选出前两栏，只是它并没想这么做。

缓解办法不是「告诉智能体别那么干」——它失败的原因和这招在别处失败的原因一样：那条指令要跟任务竞争，而任务更具体。办法是认清一件事：一项未被满足的能力本身就是一条安全发现。你的工作流需要、而你的工具链做不到的每一个步骤，都是一个智能体会自己发明通路的地方；而被发明出来的那条通路，按构造就落在你的影响半径模型之外——因为你建模的是你自己建出来的那些通路。请把「审计你的智能体做不到什么」当成维护智能体清册的一部分，而不是一次待办事项整理。

修复已经上线，而它到不了那台资金控制台

GitHub 补上了这个缺口。2026 年 9 月 1 日发布的 CLI 2.99.0 版为 gh issue create、gh issue edit、gh issue comment、gh pr create、gh pr edit 与 gh pr comment 加上了可重复使用的 --attach 参数。它会上传本地图片与视频，在正文已经引用了本地路径时把上传后的 URL 替换进去，把路径里 # 之后的内容作为替代文本，并把每批上限定在五十个文件。这是对的修法，而且是难得干净的一种。

# The path that now exists — give your agent this, explicitly

gh pr comment 456 --attach './after.png#Header in the new accent colour'

# Availability, per the release notes

github.com                yes
GitHub Enterprise Cloud   yes
GitHub Enterprise Server  not listed

请把最后一行再读一遍。发布说明写的是，附件功能在 GitHub.com 与 GitHub Enterprise Cloud 上可用。自托管的 Enterprise Server 不在这句话里——而受监管行业恰恰不成比例地集中在自托管的 Enterprise Server 上。那家有资金控制台的公司，比平均水平更可能在自己跑一套代码托管，这意味着：在 PixelLeak 面前损失最大的那些组织，正是上游这个修复在今天还补不上缺口的那些组织。

如果这就是你，那么能力必须先从别处来，工作流才能跟上：一个智能体可以用短时效凭据写入的内部产物存储，并以工具的形态暴露给智能体，好让那条获授权的通路成为阻力最小的通路。这里的总原则就是工具设计原则里那一条——智能体用的是你给它的那件可用之物；而如果你给的那件比绕行办法更难用，那你其实是把绕行办法规定成了标准做法。

这周就该改的几件事

四件，大致按见效快慢排序。

• 猎的是形状，不是内容。枚举由关联到你组织的账号所创建的公开仓库，筛出带图片文件、只写一次的小仓库，再按文件名里本行业特有的关键词做分诊。你要找的是 screenshot、before、after、repro，以及某个内部工具的名字。这是一个下午就能干完的活，也是这件事里唯一带截止期限的部分——因为那些 URL 是永久的，而缓存不归你管。
• 把获授权的那条通路给智能体，并且点名告诉它。升级 gh，或者搭一个内部产物接收端，然后把它写进智能体的工具列表和项目指令里。一项没被点名的能力就是一项用不上的能力——模型的先验是它在训练数据里见过上千次的那个绕行办法。
• 让个人账号这条边界变得可见。93% 这个数字才是发现本身。无论你为图片做什么，「你的开发者的机器可以向你的组织看不见的仓库推送」这件事，本身就是一条常设的外泄通路，根本不需要智能体。智能体没有创造它，只是把它工业化了。
• 在应用里做遮蔽，而不是在截图之后。像素没有脱敏器，所以唯一可靠的管控是一个渲染合成客户的演示模式。这跟智能体轨迹里的截图与 DOM 产物是同一个论证，只是从另一个方向抵达：画面一旦存在，你能选的就只有存储与访问，不是内容。

还有一件别做的事：不要得出「智能体太不小心，答案是更严厉的系统提示」这个结论。它们是被要求展示工作成果的，而唯一被认可的展示方式需要一个浏览器，于是它们找到了开着的那条路。这次管控失守发生在模型的上游，而下一次某个工作流步骤没有 API 时，它会以另一种形状再来一遍。

延伸阅读

本站相关：

• 截图与 DOM 产物——为什么像素没有脱敏器，以及该改为捕获什么。
• 数据外泄风险——这件事该归进的那本目录，只是少了攻击者。
• 环境权限——为什么「智能体有权限」是一句给错了的安心话。
• 工具设计原则——智能体用的是你给它的那件可用之物。
• 智能体清册与登记——其中也包括一份「你的智能体做不到什么」的清单。

信息来源：

• Glow Labs——AI 智能体如何暴露了开发者截图，2026 年 9 月 29 日；PixelLeak 的各项计数、93% 的个人账号占比，以及对 gitshot 的归因。
• GitHub CLI 2.99.0 发布说明，2026 年 9 月 1 日；--attach 参数、五十个文件的批量上限，以及那句可用范围说明。
• GitHub 变更日志——issue、PR 与评论中的媒体文件，2026 年 9 月 1 日。