25 分钟拿下 Baseten 生产环境:GitHub PAT 劫持攻击实录
bearsyankees · hn · 2026-09-16
安全公司 Strix 撰文披露,他们仅用 25 分钟就通过 GitHub Personal Access Token(PAT)接管了 AI 推理公司 Baseten 的生产环境 GitHub 权限。
文章走查了完整的攻击链:从 PAT 权限配置过宽、令牌泄露途径,到利用令牌横向移动进入生产系统的过程,说明了 CI/CD 与云基础设施中长寿命凭证的普遍风险。
对使用 GitHub PAT 连接部署流水线的 AI 公司来说,这是一份很有参考价值的安全案例。
「Infra」频道最新
- B200/H100 租金周内创新高，年内涨 47% 和 31% — TheZachMueller · 2026-11-02
- vikhyatk:通往奇点路上算力将交替出现过剩与短缺 — TheZachMueller · 2026-11-02
- Mac 端 PyTorch 10 月下载量达 329 万,环比涨 20.5% — LysandreJik · 2026-11-02
- CVSS 9.8 严重漏洞:ingress-nginx 可被未认证攻击者实现 RCE — evilsocket · 2026-11-02
- 内存涨价三倍，特斯拉把 Optimus 大脑内存砍掉三分之一 — aakashgupta · 2026-11-02
- 1.7B 本地模型 LFM3 在 MacBook 上首次答对曼城赛程查询 — NielsRogge · 2026-11-02