Два десятка компаний взломали через секреты, хранившиеся в GitLab, — лекарство вышло день спустя

Реестр и удаленная база данных

Связанный с государством финансовый реестр потерял более 120 тыс. записей: их похитил аффилиат программы-вымогателя, действующий под именем Азазель, — затем он с помощью скрипта на Python остановил сервер PostgreSQL и удалил каталог с продакшн-данными ¹. На его счету — более двух десятков организаций в шести странах ¹. Одна только атака, перекинувшаяся с программной платформы более чем на десяток клиентских сред, дала доступ более чем к 150 базам данных и сотням репозиториев с исходным кодом ¹. Компания в сфере медицинской визуализации потеряла 6 Тб данных через не требовавший аутентификации API ИИ-обработки изображений ¹².

Ключи лежали в пайплайнах

Отчет CloudSEK и опубликованные 5 октября «The Gentlemen Files»↗ ² связывают большинство взломов с учетными данными, похищенными из пайплайнов CI/CD GitLab, переменных конфигурации и истории репозиториев↗: это пароли от баз данных, API-ключи, токены доступа и приватные ключи SSH ¹². Многие из этих секретов, по оценке исследователей, были удалены из актуальных версий репозиториев, но уцелели в более ранних коммитах ². Добычу Азазель складировал на сервере объемом 29 Тб, с которого данные перекачивались в хранилище на 22 Тб, а команды скомпрометированной машине отправлял через ИИ-ассистента для программирования по протоколу MCP (Model Context Protocol) ². В выводах нет ни слова о взломе самой GitLab. Речь о другом — о том, что оставляют в ней сами клиенты.

Лекарство подоспело день спустя

6 октября GitLab представила «управляемую программную фабрику» (governed software factory)↗: Secrets Manager, уже общедоступный, — он ограничивает действие каждого секрета конкретной задачей, которой тот нужен, и отзывает утекшие учетные данные одним кликом; Dependency Firewall в раннем доступе; и Security Standard из пяти контролов ³. В основу новых процессов устранения уязвимостей лягут Claude Mythos 5 и 5.1 компании Anthropic ³ — в тот же день Джейми Даймон заявил, что после выхода Mythos киберриск «вырос в десять раз»↗ ⁴. Каждый токен, добытый Азазелем из пайплайна, — готовый сценарий применения в стеке, который GitLab анонсировала через день после отчета.

Рост реален, но платить за него приходится маржой

1 сентября GitLab отчиталась за второй квартал 2027 финансового года↗: выручка — $286,25 млн, рост на 21,3%, скорректированная прибыль на акцию — $0,24 при ожидавшихся $0,18 ⁵⁶. Но стоит спуститься ниже строки выручки — и картина переворачивается. Валовая маржа по non-GAAP снизилась с 90% до 86%, валовая маржа по GAAP падает шестой квартал подряд — до 84,1%, а операционный денежный поток ушел в минус $3,09 млн против плюсовых $49,37 млн годом ранее ⁶⁷. Платное потребление ИИ превысило $40 млн в годовом исчислении (run rate) при цели менеджмента — свыше $100 млн к концу финансового года ⁶.

Семьдесят против сорока семи

Canaccord повысила целевую цену акций с $40 до $70↗ на следующий день после отчета ⁸. Baird — до $59 с рекомендацией «выше рынка» (outperform) ⁸. Barclays, всё ещё с рекомендацией «пониженный вес» (underweight), подняла цель до $47, а консенсус — $51,75 ⁸; 6 октября акция закрылась на уровне $51,63 ⁵. «Бычий» сценарий опирается на коэффициент чистого удержания выручки (net retention) в 117% ⁸ и, по подсчетам самой GitLab, на рост числа пользователей агентной разработки (agentic development) на 200% год к году ³. Медвежий сценарий — это строчки маржи и денежного потока.

Что решит 1 декабря

GitLab отчитается за третий квартал 1 декабря ⁶. Прогноз выручки на весь финансовый год — от $1,129 млрд до $1,133 млрд — признает замедление роста до 18–19% ⁶. Показательным будет начнут ли Secrets Manager и потребление Duo отражаться в выручке без потерь в валовой марже. Страх за кибербезопасность превратился в отдельную товарную категорию — и следующий отчет назначит ей цену.