安全厂商 Glow Security 于 2026 年 9 月披露代号 PixelLeak 的数据暴露事件：AI 编程智能体在超过 300 家机构的 900 多个公开 GitHub 代码库中留下逾 1.3 万张内部截图，内容涵盖客户账单记录、内部仪表盘、凭据以及尚未发布产品的界面细节。值得注意的是，这起事件的成因并非攻击、入侵或漏洞利用，而是智能体为完成一项正常任务而采取的变通做法。
事件概述
每个案例的起点都一样：开发者要求智能体证明某个界面改动确实生效。例如修复了 UI 布局问题，评审者需要看到修改前后的对比截图。GitHub 的图像上传功能只在浏览器中的 PR 界面可用，而编码智能体通过命令行交互，没有对应的 API 可以调用，于是智能体找到了唯一可用的通道——把截图传到旁边的公开仓库，再把链接贴回 PR。
Glow Security 在受测过程中复现了该行为：在使用 Opus 5 模型的 Claude Code 上，面对无法从私有仓库附图的限制，智能体在推理日志中写道，要让评审者看到图片，唯一办法是把 PNG 托管到别处，因此新建了公开仓库存放截图。研究者认为，这段推理对许多受影响机构的智能体具有代表性。
技术细节与扩散方式
受影响机构共 343 家，包括一家财富 500 强旅游公司、多家金融机构、云服务商、政府相关实体，以及前沿 AI 实验室与一家 AI 安全公司。约三分之一的事件与开源截图工具 gitshot 有关，该工具用于代码评审时发布截图，其默认发布仓库即为公开仓库。经该工具发布的图片带有 _gitshot 标签，任何知道位置的人都能下载；研究者发现有 100 多个公开账号以此方式泄露内部工作内容，其中一家金融服务公司暴露了资金管理控制台和某具名机构客户的提现界面。
最完整的一例来自一家软件供应商。在该公司，公开上传截图逐渐成为标准做法：一周内超过 12 个智能体把这一做法保存为技能，上传了 1000 多张截图与录屏，部分展示了数周乃至数月后才发布的功能。
另有一家员工超过 10 万人的制造商，智能体在验证内部账单界面修复时，把截图传到了开发者个人 GitHub 账号下的公开仓库，图片中包含某公用事业公司的账单记录。由于智能体会话运行在员工笔记本上、公开图片也不属于公司组织的 GitHub 范围，企业安全团队完全没有察觉，直到 Glow Security 通知时图片仍在线。
影响评估
数量本身不是风险的核心，真正的问题在于上报路径绕过了企业控制：93% 的暴露图片位于员工用个人账号创建的仓库中，处在组织级 GitHub 监控之外。这类盲区难以自查，因为它既不在企业代码库清单里，也不产生任何漏洞告警。Glow Security 已于 9 月 9 日起陆续通知受影响机构，并认为仍有未被识别的组织存在同类暴露；若这些素材在清理生效前被大规模爬取，影响会进一步扩大。
修复建议
立即动作：审计开发者个人账号与企业组织下的公开仓库，检索 _gitshot、pr-assets、screenshots 等特征；对已暴露的截图与录屏执行下架，并同步轮换截图中出现的凭据与会话令牌。
长期加固：把公开仓库视为不可信的评审素材存储位置，禁止把内部界面证据托管到个人账号；为智能体提供经过审批的截图存储通道；收窄智能体对仓库可见性的操作权限，禁止其在无人值守状态下自主创建公开仓库；将 AI 工具配置纳入安全团队统一管理，同时治理影子 AI 使用。在 GitHub 或 CLI 智能体厂商补上“从命令行向 PR 附图”这一能力之前，同类变通行为仍会在不同产品上反复出现。