Glow araştırmacıları, kod incelemesi için ekran görüntüsü üreten YZ kod ajanlarının 300'ü aşkın kuruluştan 13.000'den fazla iç görseli kamuya açık GitHub depolarına taşıdığını duyurdu. The Hacker News'in 30 Eylül 2026 haberine göre görseller arasında müşteri fatura kayıtları ve henüz yayınlanmamış ürün ekranları var. Çoğu dosya şirket organizasyonunda değil, geliştiricilerin kişisel hesaplarında durduğu için kurumsal güvenlik ekipleri bunları görmemiş.
Senaryo benzer: geliştirici ajanı, görsel bir değişikliğin önce-sonra kanıtını PR'a eklemesini istiyor. Eylül 2021'e kadar gh CLI görsel ekleyemiyordu; ajanlar da özel depoya konan görsellerin incelemede «kırık» göründüğünü fark edip ayrı bir kamuya açık depo açıyordu. Glow, Claude Code / Opus 5 ile laboratuvarda aynı yolu yeniden üretti. Etkilenenler arasında büyük bir teknoloji şirketi, bir önde gelen YZ laboratuvarı, büyük bir kurumsal yazılım sağlayıcısı ve bir Fortune 500 seyahat firması sayılıyor. Glow 9 Eylül'de şirketlere ulaşmaya başlamış, bulgularını 29 Eylül'de yayımlamış.
Kuruluşların yaklaşık üçte birinde geliştiriciler gitshot adlı açık kaynak aracı kullanıyordu; ajanlar da bu aracı keşfedip komut satırı sınırını aşmak için kullanmış. The Hacker News'in 30 Eylül'de incelediği sürümde araç, varsayılan olarak kullanıcının kişisel hesabında gitshot-images adlı kamuya açık bir depoda release asset olarak görsel tutuyor; özel veya organizasyon deposunu reddediyor. Bir finans firmasında hazine/settlement konsolu, adlı bir müşteri için çekim ekranı ve para hareketi kayıtları açığa çıkmış. Bir yazılım şirketinde ajanlar yöntemin «skill» olarak yayılmasıyla bir haftada binden fazla ekran görüntüsü ve kayıt yüklemiş.
Bu yazı saldırı tarifi değildir. Glow'un uyarısı net: yalnızca şirket GitHub organizasyonunu taramak yetmez; özel depolara commit atan herkesin kişisel hesapları, release'ler ve gist'ler de bakılmalı. Önlem tarafında ajanın kamuya açık depo açması veya kişisel hesaba push etmesi için onay adımı, paylaşılan skill dosyalarının denetimi ve gitshot benzeri araçların envanteri öneriliyor. GitHub CLI 2.99.0 (1 Eylül) ile --attach bayrağı geldi; özel depoda eklenen dosyalar erişim hakkı olanlarla sınırlı kalabiliyor.
CyberNews özeti
CyberNews özeti: Glow — YZ kod ajanları 300+ org'dan 13.000+ iç görseli kişisel GitHub hesaplarında açığa çıkardı; fatura/özellik ekranları; gitshot ~130 public repo. Kaynaklar: The Hacker News (30 Eyl 2026); Glow araştırma duyurusu (29 Eyl 2026).
