待验证50% 置信事实精确时间
GitHub Apps以安装（Installation）为单位进行权限委托，可精确限定到特定仓库和操作类型，通过独立的Installation Access Token与用户身份解耦
1
来源数
50%
置信度
长期有效
时效性
2026/7/9
首次发现
来源
GitLost漏洞深度解析：GitHub AI代理如何被诱骗泄露私有仓库
hackernewshackernews2026/7/8
相关事实
待验证GitHub App 相比个人访问令牌提供更细粒度的仓库级权限控制，支持按需申请独立权限范围84% 相似待验证GitHub Actions、GitLab CI等平台默认通过GITHUB_TOKEN等内置凭证为运行器授予仓库写权限77% 相似待验证跨仓库检出时 GITHUB_TOKEN 权限仅限于当前工作流所属仓库，需改用 Personal Access Token（PAT）或 GitHub App 令牌76% 相似待验证AI代理通常通过Personal Access Token或GitHub App方式获取仓库访问权限，其操作在GitHub的audit log中与人类用户操作几乎无法区分72% 相似待验证通过代理层将Copilot额度转为通用API使用属于GitHub服务条款的灰色地带，GitHub目前未明确封禁也未明确授权此类个人用途72% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/386354API
curl https://kongchang.com/api/v1/knowledge/claims/386354MCP
get_claim(id=386354)