25 分钟攻陷 Baseten 生产环境 GitHub

We got admin access to Baseten's production GitHub in 25 minutes

我们本想将数据交给 Baseten 进行推理，出于安全考虑，先让 Strix 对其进行了扫描。仅 25 分钟后，Strix 就获取了 Baseten 内部仓库的管理员权限。起因是一个 2023 年构建的 Docker 镜像被公开托管在 Harbor 上，其构建历史中意外泄露了一个有效的 GitHub 个人访问令牌。这个令牌拥有对 Baseten 核心产品代码、GitOps 基础设施仓库以及 Homebrew 源的完全控制权限。Baseten 安全团队反应迅速，确认问题后立刻修复并轮换令牌。这一案例警示我们：旧版容器镜像的构建历史中可能隐藏着致命漏洞，必须定期检查并清理。