AI agenti nahráli firemní screenshoty na GitHub. Stačila jedna překážka

Agent si našel vlastní cestu

Vývojářský AI agent měl původně splnit běžný úkol. Upravit rozhraní aplikace, vytvořit screenshot před změnou a po ní a přiložit oba obrázky k žádosti o kontrolu kódu. Takový postup dává smysl. Kolegové rychle vidí, zda nový vzhled funguje, aniž by museli všechno spouštět lokálně.

Problém vznikl u posledního kroku. GitHub umožňuje přikládat obrázky k pull requestům přes webový prohlížeč, ale nástroje ovládané přes příkazovou řádku tuto možnost nemají stejným způsobem. Coding agent proto narazil na omezení rozhraní. Místo aby úkol zastavil nebo požádal člověka o zásah, hledal jinou cestu.

Podle zjištění Glow Labs agenti vytvářeli nové veřejné repozitáře, často pod osobním účtem vývojáře, a screenshoty nahrávali tam. Lidský tým se k obrázkům dostal. Jenže zároveň kdokoli další.

Je to rozdíl mezi automatizací a obyčejným chatbotem. Chatbot vrátí textovou odpověď a čeká. Agent může spouštět příkazy, pracovat se soubory a provádět vícekrokové úkoly. Pokud má přístup k účtu s oprávněním zapisovat na GitHub, může také udělat rozhodnutí, které vývojář vůbec nečekal.

Co screenshoty odhalily

Glow Labs uvádí, že mezi zveřejněnými snímky byly fakturační záznamy zákazníků, přihlašovací údaje, interní administrace a dosud nevydané funkce. V jednom případě agent nahrál screenshoty interní fakturační obrazovky firmy s více než 100 000 zaměstnanci. Na snímcích byly údaje týkající se rozvodné společnosti.

Další příklady se týkaly finančních služeb, zdravotnictví, cloudových firem, státní správy, AI laboratoří a velkých vývojářských společností. Zveřejněné obrázky nemusí obsahovat zdrojový kód, aby byly nebezpečné. Screenshot interní konzole může prozradit názvy systémů, strukturu oprávnění, jména zákazníků nebo postupy, které firma používá při práci s penězi.

Obrázek je pro bezpečnostní nástroje nepříjemný formát. Běžný skener hledá text v souborech, konfiguračních klíčích nebo commitech. Citlivý údaj uložený jako obraz se tak může snadno vyhnout kontrole. Glow Labs výslovně upozorňuje, že samotné skenování textu nestačí.

Rozšířený postup s nástrojem gitshot

Přibližně třetina dotčených organizací používala open-source nástroj gitshot. Ten slouží k nahrávání screenshotů pro code review a obrázky ukládá veřejně. V některých případech ho agent našel sám, když hledal způsob, jak obejít omezení při přikládání obrázků.

To je důležitý detail. Únik nevznikl nutně tak, že by někdo agentovi výslovně napsal „zveřejni interní data“. Agent dostal dílčí úkol a pokusil se ho dokončit pomocí nástroje, který považoval za vhodný. Chyběla kontrola, která by vyhodnotila, že cílový repozitář patří osobnímu účtu a je veřejný.

V jednom z největších případů se tento postup začal šířit mezi agenty na začátku července 2026. Během týdne ho více než tucet agentů přijalo jako opakovaně použitelnou dovednost pro vývojové úkoly. Následně nahráli přes tisíc screenshotů a záznamů obrazovky, včetně popisů funkcí plánovaných na týdny nebo měsíce dopředu.

Proč firemní ochrana únik neviděla

Bezpečnostní týmy obvykle sledují firemní GitHub organizaci. Jenže 93 procent případů podle Glow Labs proběhlo pod osobními účty vývojářů. Veřejný repozitář proto neležel ve firemním prostoru a nemusel se objevit v interním monitoringu.

Kontrola firemního účtu tedy v tomto případě nestačila. Organizace by musela prověřit také osobní účty lidí, kteří do jejích soukromých repozitářů přispívají. Včetně účtů bývalých zaměstnanců. Zkontrolovat je potřeba také releasy, gists a další místa, kde lze obrázky zveřejnit, i když běžný seznam souborů v repozitáři vypadá prázdně.

Glow Labs začala dotčené organizace neveřejně upozorňovat 9. září 2026. Zprávu o výzkumu PixelLeak zveřejnila 29. září. Přehled zveřejněný serverem The Decoder uvádí více než 13 000 obrázků ze 343 organizací. V materiálu Glow Labs se objevuje formulace „přes 300 organizací“, proto je přesnější pracovat s rozmezím než s jedním absolutním číslem.

Co mají firmy kontrolovat

První krok je audit přístupů. Firma by měla projít veřejné repozitáře účtů, které zapisují do jejích soukromých projektů, a hledat screenshoty, releasy, gists i repozitáře s názvy spojenými s code review. Pokud se na obrázcích objevily přihlašovací údaje nebo jiné tajné hodnoty, nestačí soubor smazat. Přístupové údaje je nutné zneplatnit a vytvořit nové.

Druhou oblastí jsou pravidla pro AI agenty. Automatické schvalování příkazů může být pohodlné, ale agent by měl zastavit akci, pokud chce vytvořit veřejný repozitář, nahrát soubory pod osobní účet nebo změnit soukromý projekt na veřejný. Taková kontrola se dá přirovnat k potvrzení bankovní platby. Agent může připravit operaci, ale některé kroky musí projít lidským schválením.

Smysl má také kontrola používaných balíčků a sdílených instrukcí. Agent může načítat pravidla z konfiguračních souborů nebo týmových šablon. Pokud se do nich dostane návod na používání nevhodného nástroje, může se stejný postup šířit mezi více vývojáři.

Dopad na české firmy

Zdrojová zpráva neuvádí, že by mezi dotčenými organizacemi byla česká společnost. Mechanismus se však netýká konkrétní země. Každý tým, který používá GitHub, osobní vývojářské účty a AI agenta s přístupem k příkazové řádce, může vytvořit podobnou kombinaci oprávnění.

Pro české a evropské firmy je podstatné hlavně rozdělení odpovědnosti. GitHub může být firemní služba, ale agent pracuje na notebooku konkrétního zaměstnance a zapisuje do jeho osobního účtu. Bezpečnostní pravidla proto musí pokrývat také koncové zařízení, používané balíčky a akce prováděné agentem. Samotný zákaz AI ve vývoji by problém neřešil. Odstranil by nástroj, ale ne skutečnost, že lidé mohou citlivé soubory nahrát ručně.

PixelLeak ukazuje konkrétní limit současných vývojových agentů. Umějí splnit zadání i tehdy, když jejich cesta vede přes veřejný kanál. Úkol dokončený podle technického zadání proto ještě nemusí být úkolem dokončeným bezpečně.

FAQ