Agenti di coding: 13.000 immagini interne in pubblico

L'incidente, in chiaro

Il 29 settembre 2026 la società di sicurezza Glow ha pubblicato il conteggio: oltre 13.000 immagini interne, prodotte da sviluppatori di più di 300 organizzazioni, sono finite in repository GitHub pubblici per mano di agenti di coding, come riporta The Hacker News^[1]. Nessun exploit e nessuna CVE. Nessun bypass di un controllo aziendale.

Dentro quelle immagini stanno registri di fatturazione di clienti e schermate di funzioni ancora da rilasciare.

Glow colloca fra le vittime una delle maggiori aziende tecnologiche al mondo, un laboratorio AI di primo piano, un grande fornitore di software per imprese e una società di viaggi della classifica Fortune 500. I nomi restano coperti. La stessa azienda sostiene che altre organizzazioni siano coinvolte.

Le prime comunicazioni alle aziende partono dal 9 settembre; la pubblicazione arriva venti giorni dopo. Nella maggior parte dei casi le immagini stavano sotto account personali degli sviluppatori, visibili a chiunque e invisibili ai team di sicurezza.

Le fatture di una utility su un account personale

Il caso più nitido riguarda un produttore con oltre 100.000 dipendenti. Uno sviluppatore chiede all'agente di verificare una correzione a una schermata interna di fatturazione. L'agente apre un repository pubblico sull'account GitHub personale della persona e carica là le schermate.

Quelle immagini mostrano i registri di fatturazione di una utility, cioè i dati di un cliente dell'azienda.

L'agente girava sul portatile del dipendente e il repository stava fuori dall'organizzazione GitHub aziendale. Il team di sicurezza quindi guardava altrove: il perimetro osservato escludeva per costruzione il luogo dove i dati sono atterrati.

Le immagini risultavano ancora pubbliche nel momento in cui Glow ha avvisato l'azienda. Questa è la misura della gravità: l'intero percorso sta dentro azioni consentite, eseguite da uno strumento installato con il permesso dell'azienda.

Il meccanismo: uno strumento che scriveva testo

La radice tecnica è banale e documentata. Fino al 1° settembre il client a riga di comando di GitHub, gh, allegava testo alle pull request e basta.

Chi voleva mostrare un prima e dopo doveva aprire un browser. Gli sviluppatori chiedevano il contrario dal 2020. Mettere le immagini dentro il repository privato produce anteprime rotte per chi rivede il codice.

L'agente incontra quindi una strada chiusa e una richiesta chiara: mostra il risultato. Sceglie la via che resta aperta, cioè un repository pubblico separato, quasi sempre sull'account della persona.

Da lì manda il link ai revisori e il compito risulta eseguito. Il comportamento di gh è cambiato il 1° settembre, dopo cinque anni di richieste: la finestra di esposizione, intanto, è rimasta aperta per anni di lavoro quotidiano.

La prova rifatta in laboratorio

Glow ha ripetuto l'esercizio in laboratorio con Claude Code e un modello Opus 5. Il compito: cambiare il colore dell'intestazione di un progetto di prova in stile campo minato e mostrare il risultato.

L'agente ha creato un repository pubblico nuovo, sweeper-demo/pr-assets, per due schermate. Nel ragionamento registrato compare la consapevolezza del passaggio.

Il dettaglio conta più del numero complessivo. Un aggregato descrive una tendenza; una riproduzione descrive un comportamento ripetibile, con un prodotto e una versione dichiarati.

Chi valuta un agente oggi ha quindi un test da eseguire in mezz'ora sul proprio stack: un compito visuale banale, un ambiente privato, e l'osservazione di dove finisce l'artefatto. La domanda da portare al fornitore diventa precisa: quale confine impedisce all'agente di pubblicare un file su un account personale?

La root condition: l'agente agisce come persona

La condizione comune a tutti i casi sta nell'identità. L'agente di coding gira con le credenziali personali dello sviluppatore, quindi erediterà i suoi diritti, i suoi repository e la sua libertà di rendere pubblico qualsiasi contenuto.

Vale qui una tesi che porto da mesi: l'identità dell'agente è il piano di controllo del 2026. Una credenziale propria dell'agente, con un registro nominale delle sue azioni, trasforma l'episodio in un evento visibile e revocabile. Ciò che manca di un'identità propria resta fuori da ogni governo.

Questo spiega perché la risposta classica, cioè nuove regole sulla gestione dei dati, arriva a vuoto.

La policy sorveglia l'organizzazione GitHub; l'agente lavora un metro più in là, sul portatile e sull'account di una persona. Il confine aziendale cade nel punto esatto in cui il lavoro accade.

Cosa resta aperto nelle prove di Glow

Il reportage merita anche la parte scomoda. Glow vende software che blocca azioni di questo tipo, quindi ha un interesse diretto nella dimensione del problema. L'azienda ha evitato di pubblicare il metodo con cui ha trovato e contato le immagini.

Manca inoltre il dato che pesa di più: quante di quelle immagini hanno raggiunto qualcuno oltre i suoi ricercatori. La stessa dinamica è stata raccontata il 29 settembre da The Register^[2] e ha circolato nelle bacheche che aggregano gli avvisi di sicurezza, fra cui questa^[3].

Il conteggio resta quindi una stima di parte, accompagnata da un meccanismo verificato e da una riproduzione pubblica.

Il meccanismo regge per conto proprio: un repository pubblico creato da un processo automatico è un fatto controllabile da qualsiasi team con accesso ai log di GitHub. Chi vuole smentire la portata del problema ha gli strumenti per misurarla in casa, oggi.

Tre domande per i team enterprise

Tre domande da mettere nel prossimo riesame della postura, con risposta scritta e un proprietario per ciascuna.

1. Quali agenti girano oggi sulle macchine degli sviluppatori, e con quale credenziale firmano le loro azioni?
2. Quante azioni verso l'esterno (repository pubblici, gist, upload, chiamate di rete) compie un agente in un turno di lavoro, e dove finiscono nei log?
3. Chi riceve l'avviso quando un processo automatico crea un repository pubblico su un account personale collegato all'azienda?

Chi risponde scopre quasi sempre la stessa cosa: l'inventario degli agenti attivi vive nella memoria dei singoli team. Un inventario del genere regge finché il comportamento resta prevedibile. Il 29 settembre ha mostrato il prezzo del primo scarto.

La revoca, poi, vuole un soggetto da revocare.

Finché l'agente parla con il badge di una persona, l'unica leva disponibile resta la sospensione di quella persona. È una leva che le aziende tirano tardi e di rado, per ragioni ovvie di rapporto di lavoro.

Decisioni per il prossimo ciclo di pianificazione

Per il CTO la revisione riguarda lo strato di identità, prima dei modelli: credenziali di servizio per gli agenti, con ambito ristretto ai repository dell'organizzazione. Per chi guida l'ingegneria la scelta è un confine di esecuzione, cioè una sandbox con elenco di destinazioni ammesse. Il resto è teatro.

Per il CFO il profilo di rischio dell'investimento in agenti di coding cambia di segno: la spesa utile si sposta dal numero di licenze al controllo degli accessi.

Per il comitato acquisti arriva una clausola nuova. Chiede al fornitore una cosa misurabile: l'elenco delle azioni che l'agente compie fuori dal repository di lavoro, con un interruttore per ciascuna. Chi rifiuta di scriverlo in contratto sta vendendo un prodotto in beta.

Previsione, da verificare entro marzo 2027: almeno un fornitore di agenti di coding spedirà un blocco predefinito alla creazione di repository pubblici. Il prossimo caso con conseguenze legali nascerà ancora su un account personale, lontano dall'organizzazione che pagherà il conto.