伪装成“审计笔记”的改动，摸向6万多个GitHub仓库的云端钥匙

看上去像一份依赖审计笔记，背后却在试探能否偷走云服务密钥。Aikido在11月12日披露，wfx-loot行动利用4837个被盗GitHub账号，对61764个代码仓库发起了权限探测。

真正目标是自动测试、打包和发布软件的流程，也就是CI。它们经常持有部署云服务所需的密钥。研究人员称，至少1800个仓库运行了恶意载荷；被探测不等于全部失窃。

更隐蔽的是回撤：Aikido观察到攻击者很快恢复代码改动，并删除运行与日志。代码看起来恢复正常，不能证明构建环境里的凭据仍安全。BleepingComputer也跟进了这一调查。

开发者应检查异常分支、陌生审计请求及工作流运行编号缺口。确认载荷执行后，应按泄露处理可访问的密钥和云角色，撤销异常授权并轮换凭据。该调查涉及被盗账号权限滥用，不是GitHub全站遭入侵的结论。

来源时间：Aikido页面更新，北京时间2026年11月13日02:00:17／美国东部11月12日13:00:17（EST）；BleepingComputer发布，北京时间11月13日06:25:30／美国东部11月12日17:25:30（EST）。