Strix、評価額 13 ちゃんドルの AI インフラ Baseten の GitHub 管理者権限を 25 分で取得
公開コンテナイメージのビルド履歴に放置された 3 年前の GitHub Personal Access Token を自律型エージェントが発見し、クラスタ制御リポジトリまで操作可能になったインシデント。
リリース: 2026-09-01 · 読了 3 分記事の要約
1. 核心（What）
- セキュリティ企業 Strix が自律型ハッキングエージェントを使い、Baseten の公開 Harbor レジストリから GitHub Personal Access Token を発見した。
- 取得されたトークンは basetenlabs 組織のメイン製品リポジトリ、GitOps リポジトリ、Homebrew タップに対する管理者・プッシュ権限を保持していた。
- 当該のコンテナイメージは 2023 年 3 月に作成されたものであり、2026 年 7 月の発見時点でもトークンが有効であった。
- Baseten のセキュリティチームは脆弱性をクリティカルと認定し、翌日午後までにレジストリのロックダウンとトークンローテーションを完了させた。
2. 影響（Why）
- ビルド履歴に潜む静的秘密情報の脅威: ファイルシステム層からファイルを削除しても Docker の history[].created_by フィールドに直接展開された環境変数は残るため、コンテナイメージのレイアウト設計全体を検査しないと機密情報が流出する。
- AI インフラ事業者のサプライチェーンリスク: GitOps リポジトリやクラスタ制御リポジトリへの管理者権限が漏洩すると、単一企業の障害にとどまらず、そのインフラに依存する多数の顧客プロダクトへ影響が及ぶ。
3. 根拠・詳細（How）
- Harbor レジストリの匿名検出とイメージ解析: サブドメインの網羅的な列挙により gcp-us-east4-zlw.registry.baseten.co の Harbor レジストリを特定し、匿名プル機能を利用して baseten/baseten-app イメージのマニフェストとレイヤーをダウンロードした。
- TruffleHog による履歴スキャンと権限確認: ダウンロードしたイメージのレイヤーに対し TruffleHog を実行し、Docker ビルド履歴の history[].created_by に含まれていた GITHUB_TOKEN を抽出、GitHub API への read-only リクエストで basetenbot アカウントの権限を確認した。
4. 展望・課題（Next）
- ベンダー側でのシークレット自動スキャン強化: コンテナビルド時の機密情報混入を防ぐため、CI/CD パイプラインにおける静的解析とトークン有効期限の短縮化の導入が進められる。