GitHub 內部程式碼儲存庫遭未授權存取 （★ 146 分）
GitHub 在 X（原 Twitter）公告，針對內部 repo（repository，程式碼儲存庫）遭未授權存取的調查，已確認事件源自一名員工裝置遭入侵，攻擊媒介是一個被植入惡意內容的 VS Code（Visual Studio Code，Microsoft 的程式碼編輯器）擴充套件。GitHub 表示已偵測並遏止事件，移除該擴充套件的惡意版本、隔離受影響端點（endpoint，受管理的連線裝置），並立即啟動資安事故應變流程。
這起事件的重點不只是 GitHub 內部程式碼遭讀取，也凸顯開發工具供應鏈攻擊的風險：開發者日常使用的編輯器擴充套件，一旦被污染，就可能成為進入企業內部環境的入口。公開貼文中可見的說法聚焦於「內部 repo」與員工端點，並未顯示客戶私有 repo 遭存取的官方說明。
Hacker News（科技新聞討論站）上的討論則集中在傳出約 3,800 個內部 repo 曝光的規模，以及為何單一開發者帳號會擁有如此廣泛的唯讀權限。部分人認為，大型工程組織讓開發者讀取多數非敏感程式碼很常見，能降低跨團隊協作摩擦、協助理解系統架構，也避免每次都要申請權限；以 GitHub 的規模來看，數千個 repo 可能包含測試、工具、微服務、fork 與原型，並不必然異常。另一派則認為，即使只是唯讀，一台員工裝置遭攻破就可能擴大外洩範圍，顯示最小權限原則落實不足。
不少留言主張，企業需要在生產力與風險控管之間採取更細緻的做法，例如 JIT（Just-in-Time，臨時按需）存取、權限自動到期、異常行為偵測與稽核，而不是讓所有開發者長期持有大範圍權限。也有人討論攻擊者是否只需竊取 SSH 金鑰（用於登入或驗證的憑證）即可大量 clone 程式碼；其他人補充，Microsoft 與 GitHub 內部可能不允許 SSH key 直接用於這類存取，而是透過 git-credential-manager 與 MFA（Multi-Factor Authentication，多因素驗證）等機制，也可能搭配 VPN（Virtual Private Network，虛擬私人網路）或 IP 限制。
對於被污染的 VS Code 擴充套件，社群批評 GitHub 未立即明確點名來源，也有人猜測可能與 NX Console 的安全公告有關，但這類說法需以官方確認為準。更廣泛的共識是，企業過去常限制 Docker Hub（容器映像檔倉庫）、PyPI（Python Package Index，Python 套件庫）或 npm（JavaScript 套件庫）的使用，未來可能也必須對 VS Code 擴充套件建立可信清單與審查流程。即使許多人認為「程式碼外流」不等於系統立即失守，這起事件仍凸顯第三方開發工具、員工端點與廣泛讀取權限疊加後，會大幅放大資安事故的影響範圍。
👥 43 則討論、評論 💬
https://news.ycombinator.com/item?id=48202993