CodePen 2.0 被曝边打字边上传编辑器内容,未保存的密钥也已泄露
maxim-fin · hn · 2026-09-07
HN 用户实测发现,CodePen 2.0 会在用户输入时几乎实时(1-2 秒内)把编辑器里的全部内容发送到 codepen.dev 服务器——即使你尚未保存或发布该 Pen。
作者用唯一标记字符串验证:在 index.html 中输入标记后,CodePen 以 save:false 跑了一次构建,标记随后原样出现在生成的 .codepen.dev 预览页 HTML 的 Network/Response 中。
结论:任何在编辑器中误输入的密钥、token 等敏感信息都应视为已泄露,即便从未保存或发布。 建议曾在 CodePen 中粘贴过敏感内容的用户立即轮换密钥。
「安全」频道最新
- Aidan Gomez：模型推理痕迹说谎，CoT 监控对 Agent 可能失效 — aidangomez · 2026-10-27
- 模型如何应对利益冲突？讨论延伸到平台拒绝服务第三方 agent — sjgadler · 2026-10-27
- 6 个月被抢超 1 亿美元：盗贼用 GPS 欺骗劫走数据中心货物 — Ars Technica AI · 2026-10-27
- 约翰霍普金斯 3000+ 患者数据被传给 AI 工具后发出警报 — beingmodest · 2026-10-27
- Thom Wolf 发布 Alignment Hub：汇集 120+ 起 AI 模型失控公开事件 — Thom_Wolf · 2026-10-27
- 美参议员炮轰 AI 行业：50 人死亡才算灾难性事故？ — peterwildeford · 2026-10-27