云端安全公司Wiz披露Gheist攻击：逾850个GitHub账号遭窃令牌植入恶意工作流，私人仓库防护存缺口
Wiz发现黑客利用被盗GitHub令牌在公开及私人仓库植入恶意Actions工作流窃取机密。GitHub新增的公开仓库审批机制未覆盖私人仓库及企业服务器，导致部分企业环境仍面临凭证泄露风险。
美国云端安全公司Wiz Research近日披露名为“Gheist”的攻击活动，黑客滥用被盗的GitHub访问令牌（token），在代码仓库中植入恶意的GitHub Actions工作流，企图窃取敏感数据。据研究人员统计，这波攻击影响了超过850个被入侵的GitHub账号，相关仓库中被植入了逾1.35万个恶意分支。
Wiz自2026年9月15日起追踪该活动，截至10月24日仍观测到相关迹象。GitHub此前针对公开仓库新增了防护机制，要求部分可疑工作流经人工核准后才能执行，因此研究人员检查的恶意工作流在公开仓库中均未成功运行。然而，这项防护并不适用于私人仓库及GitHub Enterprise Server。Wiz指出，在部分企业环境中，恶意工作流已成功执行并造成威胁。
攻击者植入的恶意GitHub Actions工作流会将执行期间可访问的环境变量及机密资料编码后写入日志，以此规避GitHub原有的机密资料遮蔽机制。随后，攻击工具调用GitHub API下载这些日志，并在数秒内删除执行记录以掩盖痕迹。此外，攻击者还试图从被入侵组织自行托管的GitHub Actions执行器（self-hosted runner）中搜索可能存放的私密密钥及云端服务身份验证凭证。
研究人员在部分企业环境发现，攻击者利用被盗令牌擅自复制私人仓库。数小时后，同一组织的云端服务身份验证凭证出现查询AWS Secrets Manager资源的使用记录。Wiz研究人员向资安媒体Dark Reading透露，估计约有12家公司受到这波攻击影响。
针对此类攻击，企业应检查GitHub仓库是否出现异常分支或恶意工作流，并比对GitHub与云端服务的审计日志，追查令牌是否遭到滥用。一旦发现迹象，需立即撤销滥用的令牌、轮换可能外泄的机密密钥及身份验证凭证，并检查自行托管的执行器是否受到影响。