25分钟拿下Baseten生产环境GitHub管理员权限：一次供应链安全警示

事件概览

一支安全研究团队在一次针对AI基础设施公司Baseten的渗透测试中，仅用25分钟便获取了其生产环境GitHub仓库的管理员权限。这条消息在Hacker News上引发关注（60个赞、14条评论），再次把「开发者供应链安全」这个老话题推到台前。

Baseten是一家提供机器学习模型部署与推理服务的公司，其GitHub组织中存放着大量核心代码、CI/CD配置以及部署凭证。一旦攻击者取得管理员权限，理论上可以修改代码、注入后门、篡改部署流程，甚至波及所有依赖其服务的下游客户。25分钟的时间成本，与潜在破坏力形成了刺眼的反差。

需要说明的是，原始素材仅为标题与讨论热度，具体攻击链路、漏洞细节尚未在公开信息中完整披露。本文基于事件类型进行分析，具体技术复现请以官方或研究团队后续报告为准。

为什么GitHub管理员权限如此危险

在现代软件交付体系中，源代码仓库早已不只是「存代码的地方」，而是整条软件供应链的中枢神经。管理员权限意味着可以：

修改分支保护规则，绕过代码审查直接合并恶意代码
读取或替换存储在仓库、Actions Secrets 中的部署密钥、云凭证
篡改 CI/CD 流水线，让恶意构建自动分发到生产环境
添加协作者或部署密钥，建立长期隐蔽的后门

对于Baseten这类为其他企业托管AI模型的基础设施公司，风险会沿着服务链条向下游传导。攻击者不必直接攻破每一个客户，只需拿下上游平台，就能一次性获得放大数十倍的攻击面。这正是近年来SolarWinds、Codecov等供应链攻击事件反复印证的逻辑。

SolarWinds 事件（2020年）是软件供应链攻击的标志性案例：攻击者入侵 SolarWinds 的构建环境，将恶意代码植入 Orion 软件的正式更新包，致使全球约 18,000 家客户（包括多个美国联邦政府机构）在不知情的情况下安装了带有后门的版本。Codecov 事件（2021年）则更接近本文场景：攻击者修改了 Codecov 的 CI 脚本，导致使用其服务的企业在上传代码覆盖率报告时，同时将本地环境变量（包含各类密钥）泄露给攻击者。这两起事件共同确立了一个安全共识：攻破上游工具链，比逐一攻击下游目标的投入产出比高出数个量级，这也是为什么基础设施层公司的仓库权限会成为高价值攻击目标。

25分钟意味着什么

短时间内完成权限提升，通常指向几类常见的薄弱环节，而非高深的零日漏洞：

泄露的凭证与令牌

开发者在提交代码、公开Gist、CI日志或前端打包产物中意外暴露 Personal Access Token、GitHub App 私钥或云密钥，是最高频的入口。自动化扫描工具可以在几分钟内从海量公开数据中筛出有效凭证。

GitHub 提供了原生的 Secret Scanning 功能，能够在代码推送时自动检测常见格式的密钥（如 AWS Access Key、GitHub PAT、Slack Token 等），并在发现后向仓库管理员发出告警。然而，这一机制对已经泄露到公开 Gist、Stack Overflow 帖子或历史 commit 中的密钥无能为力。GitGuardian、TruffleHog 等第三方工具则可以对整个 git 历史、公开代码托管平台进行持续扫描，攻击者与防守方使用的往往是同一套工具链。值得注意的是，GitHub Personal Access Token（PAT）本身不会自动过期（除非手动设置），一旦泄露且未被发现，可能在数月乃至数年内持续有效，这是其危险性远超临时凭证的核心原因。

配置错误

组织层面权限配置过于宽松、默认给予成员较高权限、缺乏最小权限原则，会让一个低权限入口迅速升级为管理员。第三方GitHub App、集成服务的过度授权同样是常见跳板。

社工与OAuth滥用

针对开发者的钓鱼、恶意OAuth应用授权，能够在员工毫无察觉的情况下取得账户级访问。一旦目标账户本身拥有管理员角色，攻击几乎无需「提权」这一步。

25分钟的关键不在于「快」，而在于它揭示了防线可能根本不存在——攻击路径畅通无阻，说明纵深防御和检测机制存在明显缺口。

给团队的防御清单

结合此类事件的普遍教训，AI与基础设施团队可以从以下方向收紧防线：

强制最小权限：组织成员默认只读，管理员角色严格限量并定期审计。
密钥治理：启用 GitHub Secret Scanning 与 Push Protection，将密钥统一托管到 Vault 类系统，禁止明文入库。
短生命周期凭证：用 OIDC 联合身份替代长期存储的云密钥，让泄露的令牌迅速失效。
分支保护与签名提交：对生产分支强制审查、要求 commit 签名，阻断单点篡改。
第三方应用审计：定期清理OAuth授权与GitHub App权限，遵循「按需授权」。
异常检测：对权限变更、新增部署密钥、异常地区登录设置实时告警。

对AI行业的启示

AI基础设施赛道过去两年高速扩张，大量初创公司把资源投向模型性能与产品迭代，安全建设往往滞后。但当这些公司开始承载客户的核心业务与敏感数据时，安全债务的利息会变得极其昂贵。

Baseten事件（无论最终细节如何）是一记提醒：AI公司不仅要守护模型权重和训练数据，更要守护交付这些能力的软件供应链本身。对于依赖第三方AI平台的企业而言，供应商的安全成熟度应当成为选型时的硬性评估项，而不是事后追责的借口。

安全从来不是「有没有被攻破」的二元问题，而是「攻破需要多少成本」的经济问题。当这个成本低到只需25分钟，任何理性的攻击者都不会拒绝这笔交易。

背景补充

OIDC（OpenID Connect）联合身份是目前主流云厂商（AWS、GCP、Azure）与 GitHub Actions 之间推荐的无密钥认证方式。其原理是：CI/CD 流水线运行时，GitHub 为当次 workflow 签发一个短效 JWT Token，云厂商侧配置信任策略后，可以用该 Token 直接换取限时的云资源访问凭证，整个过程无需在 GitHub Secrets 中存储任何长期密钥。即使攻击者截获了某次 workflow 的临时凭证，其有效期通常只有 15 分钟到 1 小时，大幅压缩了可利用窗口。相比之下，传统做法是将 AWS_ACCESS_KEY_ID 等长期密钥存入 Secrets，一旦泄露，在手动轮换前将持续暴露风险。