已过期60% 置信事实精确时间

GitHub Copilot 代理通过 GitHub Apps 的 OAuth 机制获取仓库访问权限，使用 Installation Access Token 与 API 交互，令牌默认有效期为 1 小时

2

来源数

60%

置信度

中期 (~90 天)

时效性

2026/7/9

首次发现

有效期至：2026/10/7(已过期)

来源

GitLost漏洞深度解析：GitHub AI代理如何被诱骗泄露私有仓库

hackernewshackernews2026/7/8

相关事实

已验证GitHub Actions、GitLab CI等平台默认通过GITHUB_TOKEN等内置凭证为运行器授予仓库写权限72% 相似待验证GitHub Apps以安装（Installation）为单位进行权限委托，可精确限定到特定仓库和操作类型，通过独立的Installation Access Token与用户身份解耦72% 相似待验证GITHUB_TOKEN 是 GitHub Actions 为每次工作流运行自动生成的临时身份令牌，作用域限定在当前仓库，任务结束后自动失效70% 相似已验证GitHub对公开仓库提供免费的Actions运行时间，每月2000分钟70% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/354125

API

curl https://kongchang.com/api/v1/knowledge/claims/354125

MCP

get_claim(id=354125)