BasetenのGitHubに管理者権限で侵入成功
原題: We got admin access to Baseten's production GitHub
なぜ重要か
評価額130億ドル規模のMLインフラ企業でも、忘れられたコンテナイメージ内の認証情報が長期間放置されるリスクを示した事例として業界全体への警鐘となる。
セキュリティ企業Strixは2026年7月、推論サービス大手Basetenの本番環境を無認証でスキャンした結果、約25分でGitHub個人アクセストークンを発見。このトークンはBasetenの主要製品リポジトリ・GitOpsリポジトリ・顧客別プライベートリポジトリへの管理者権限を持ち、2023年3月から3年以上有効な状態だった。Basetenのセキュリティチームは翌日午後までに対応を完了した。
Strixは自社開発の自律型ハッキングエージェントを使い、推論サービスの採用検討前にBasetenのセキュリティを検証した。対象は認証情報もソースコードも使わないブラックボックステスト。エージェントはまず証明書ログを含む全サブドメインを列挙し、GCPリージョンのHarborコンテナレジストリ（gcp-us-east4-zlw.registry.baseten.co）を発見した。
Harborの1プロジェクトが認証なしで公開されており、リポジトリ一覧の取得、匿名プルトークンの発行、イメージマニフェストとblobのダウンロードが可能だった。Strixはbaseten/baseten-appイメージを取得して内部を精査。最初に見つかったAWSキーペアは失効済みだったが、さらに解析を続けた結果、basetenbot名義のGitHub個人アクセストークンを発見した。
このトークンが持つ権限は深刻だった。主要製品リポジトリへのadmin・push権限、クラスタ設定を管理するGitOpsリポジトリへのアクセス、Homebrewタップ、さらに顧客ごとに分かれたプライベートリポジトリへの読み書き権限が含まれていた。イメージのビルド日時は2023年3月で、発見した2026年7月時点でもトークンは有効だった。
Strixがこの問題をBasetenへ報告すると、セキュリティチームはcritical（最重大）と判定し、翌日午後にはレジストリプロジェクトをロックアウトしてトークンをローテーションした。Basetenは企業評価額130億ドルで多くの企業が依存するサービスであり、今回の露出が実際に悪用されていた場合の影響範囲は広範に及んだ可能性がある。