chubaiElon Musk said Wednesday he is “not aware of any naked underage images generated by Grok,” hours before the California attorney general opened an investigation into xAI’s chatbot over the “proliferation of nonconsensual sexually explicit material.” Musk’s denial comes as pressure mounts from governments worldwide — from the U.K. and Europe to Malaysia and Indonesia — after users on X began asking Grok to turn photos of real women, and in some cases children, into sexualized images without their consent. Copyleaks, an AI detection and content governance platform, estimated roughly one image was posted each minute on X. A separate sample gathered from January 5 to January 6 found 6,700 per hour over the 24-hour period. (X and xAI are part of the same company.)
CVSS 9.9分！GitLab AI网关爆出致命漏洞，你的代码仓库可能正在”裸奔”
一个评分高达9.9的漏洞，足以让全球运维和安全团队彻夜难眠。这一次，轮到了GitLab。
2026年，当AI能力已经成为DevOps工具链的标配，GitLab的AI网关却被曝出CVE-2026-90970这一严重缺陷。CVSS评分9.9，距离满分仅差0.1——在安全领域，这意味着”接近理论极限的严重性”。攻击者无需复杂条件，即可通过AI网关这一看似”智能”的入口，撬开整个代码仓库的大门。
问题的本质，远比一个补丁复杂得多。
**AI网关：DevOps的”新边疆”，也是”新软肋”**
GitLab AI网关是什么？简而言之，它是GitLab将大模型能力嵌入研发流程的”神经中枢”。代码补全、智能审查、自动生成提交信息、漏洞建议修复——这些让开发者拍手叫好的功能，都依赖AI网关在后台调度模型、处理请求、返回结果。
但问题恰恰出在这里。为了完成”智能”任务，AI网关必须拥有极高的权限：读取代码内容、访问项目元数据、调用内部API、甚至代表用户执行操作。它就像一把万能钥匙，被挂在了GitLab这栋大楼最显眼的门把手上。
CVE-2026-90970的致命之处在于：攻击者可以通过精心构造的请求，绕过AI网关的权限校验机制，直接以高权限身份读取私有仓库代码、窃取CI/CD密钥、甚至注入恶意代码到流水线中。CVSS 9.9的评分，意味着利用门槛极低、影响范围极广、后果极其严重。
**为什么AI组件的漏洞总是”特别致命”？**
这不是GitLab第一次因AI组件登上安全头条，也不会是最后一次。从2024年到2026年，全球主流DevOps平台——GitHub、GitLab、Jenkins、Azure DevOps——无一例外地在AI集成模块上栽过跟头。
根本原因有三。
第一，AI组件的”权限膨胀”是结构性的。传统API网关的权限边界清晰，一个查询接口只能查数据，一个写入接口只能写数据。但AI网关不同：它需要”理解”上下文，就必须访问上下文；它需要”生成”建议，就必须拥有建议所涉及的资源权限。这种”为了智能而让渡权限”的设计范式，天然埋下了越权隐患。
第二，AI组件的输入面极其宽广。自然语言、代码片段、文件路径、模型参数——任何一个输入点都可能成为注入攻击的入口。攻击者不需要找到传统的SQL注入或缓冲区溢出，只需要在提示词中嵌入恶意指令，就可能让AI网关”心甘情愿”地交出敏感数据。
第三，安全测试跟不上AI迭代的速度。传统安全工具擅长扫描已知模式的漏洞，但AI网关的行为逻辑是概率性的、上下文相关的。同一个请求，在不同项目、不同模型版本、不同上下文下，可能产生完全不同的结果。这让自动化安全测试几乎束手无策。
**从CVE-2026-90970看DevOps安全的范式转移**
这个漏洞的真正价值，不在于它本身有多严重，而在于它揭示了一个不可逆转的趋势：DevOps平台的安全边界，正在从”代码”转移到”AI”。
过去，我们保护代码仓库，核心是管好Git协议、SSH密钥、访问令牌。后来，我们保护CI/CD，核心是管好流水线权限、环境变量、制品仓库。现在，我们保护AI网关，核心是什么？是提示词过滤？是模型输出审查？是权限最小化？还是行为审计？
答案可能是：以上全部，但远远不够。
真正需要的，是一种”零信任AI”的架构思维。具体而言：
其一，AI网关必须运行在独立的、隔离的权限域中。它不应该直接持有用户的长期凭证，而应该通过短期令牌、动态授权的方式，在每次请求时重新校验权限。
其二，所有AI网关的输入输出必须经过严格的内容安全策略。不是简单的关键词过滤，而是基于语义的意图识别——判断这个请求是否在试图诱导AI执行越权操作。
其三，AI网关的行为必须可审计、可回滚。每一次代码读取、每一次API调用、每一次模型推理，都要留下不可篡改的日志。一旦发现异常，能够快速定位、快速阻断、快速恢复。
其四，也是最根本的：不要把AI网关当作”更聪明的API”，而要把它当作”拥有超级权限的新用户”。对待新用户，我们从来不会一上来就给root权限。
**修复之外：每个团队都应该问自己的三个问题**
GitLab已经发布了补丁，升级到最新版本即可修复CVE-2026-90970。但补丁只能解决这一个漏洞，解决不了系统性的风险。
每一个使用AI增强型DevOps平台的团队，都应该立即问自己三个问题：
第一，我们的AI网关拥有哪些权限？这些权限是否经过了严格的必要性审查？是否存在”为了省事”而授予的过度权限？
第二，如果AI网关被攻破，攻击者能接触到什么？是只有公开代码，还是包括私有仓库、生产密钥、客户数据？最坏情况下的影响范围有多大？
第三，我们有没有能力检测和响应AI网关的异常行为？当AI网关在凌晨三点突然大量读取私有仓库时，有没有告警？有没有阻断？有没有溯源？
这三个问题，比任何补丁都更重要。
**结语：AI越智能，安全越不能”偷懒”**
CVE-2026-90970是一个警钟，但它不是第一个，也不会是最后一个。当我们将越来越多的权限交给AI，我们就必须用更严苛的标准去审视AI的每一个接口、每一次调用、每一行代码。
安全从来不是AI的对立面，而是AI能够被信任的前提。一个CVSS 9.9的漏洞，足以让整个行业重新思考：我们到底应该给AI多少信任，以及，我们准备好为这份信任付出多少安全成本了吗？
你的团队，是否已经检查了GitLab AI网关的权限配置？欢迎在评论区分享你的安全实践或困惑。如果觉得这篇文章有价值，请点个”在看”，让更多运维和安全同行看到。
