GitHub公开仓库也开始查身份：机器人流量激增，正常CI跟着遭殃

动察 Beating AI 快讯，GitHub 10 月 19 日宣布，将对部分公开仓库的 HTTPS 下载请求临时增加身份认证。系统一旦检测到异常流量，原本无需登录就能克隆（clone）、拉取（fetch）的代码，可能突然要求提供 Token。依赖匿名下载的 CI 构建和自动安装脚本，也可能因此中断。

类似问题在 9 月就已出现。9 月 2 日，有开发者在 GitHub 社区反馈，CI 服务器拉取 MariaDB 公开仓库时反复收到 `401` 错误，连子模块更新也无法完成。游戏服务器管理工具 AMP 的开发者也表示，大量用户的安装流程受到影响，团队不得不考虑紧急修改程序。

GitHub 当时解释，平台面临越来越多的机器人流量，正常开发请求也可能被误判。此次公告进一步明确了临时认证措施的适用范围。

GitHub 建议开发者为自动化任务配置身份认证，避免依赖匿名 HTTPS 拉取。已认证的 HTTPS 和 SSH 操作不受此次限制影响。

AI 解读

GitHub 把公开仓库的匿名 HTTPS 拉取改成风控命中即索要 Token；已认证的 HTTPS 与 SSH 不受影响，成本全部落在依赖匿名拉取的 CI 和自动安装脚本上。9 月 2 日 MariaDB 仓库在 CI 里反复 401、AMP 安装流程被迫改程序，说明这是一次既成损害后的补丁，并非预防。

这一措施与上半年的一串事故同源：5 月 Nx Console 毒插件让 GitHub 承认约 3800 个内部仓库遭窃，Shai-Hulud 借 pull_request_target 从 CI 缓存埋码，6 月 Red Hat npm 包牵出超 300 个 GitHub 仓库的失窃凭证。这些攻击的入口反复是 CI 凭据，而缓解措施却先打在 CI 上。7 月 GitHub 又把凭证泄露监控做成企业版 Secret Protection 的免费项，防护重心明显落在付费层。

细节埋在“临时”与“检测到异常流量”两个措辞里：并非全量强制。公开代码的可获取性从确定性变成概率性，面向 Agent 重写的零配置 Git 托管正在对面承接这部分需求。

展开

原文链接 #产业生态

纠错/举报