二十余家企业因GitLab中存储的机密凭证遭入侵，GitLab次日推出“解药”

登记机构失守，数据库被删

一家有政府背景的金融登记机构被一名化名Azazel的勒索软件加盟者窃走逾12万条记录，后者随即用Python脚本停掉该机构的PostgreSQL服务器，并删除了生产数据目录¹。此人的攻击波及六个国家的二十余家机构¹。其中一次入侵由一家软件平台蔓延至十余个客户环境，仅这一起就取得了150多个数据库和数百个源代码仓库的访问权限¹。一家医学影像公司则因AI影像API未设身份验证而流失6TB数据¹²。

钥匙就藏在流水线里

CloudSEK的报告，即10月5日发布的《The Gentlemen Files》↗²，把大多数入侵事件溯源到从GitLab CI/CD流水线、配置变量和代码库历史中窃取的凭证↗：数据库密码、API密钥、访问令牌、SSH私钥¹²。研究人员判断，其中许多机密凭证虽已从代码库当前版本中删除，却仍留存在更早的提交（commit）记录里²。Azazel把窃得的数据堆放在一台29TB服务器上，再灌入一个22TB的“保险库”，并通过MCP（模型上下文协议）驱动AI编程助手，向一台被入侵的机器发送指令²。调查结论中没有任何内容显示GitLab自身被攻破；报告描绘的，是客户留在平台里的东西。

一天后，“解药”登场

10月6日，GitLab发布“受治理的软件工厂”↗：现已正式商用的Secrets Manager（密钥管理器）把每个机密凭证的可用范围限定在对应任务上，并可一键吊销已泄露的凭证；处于抢先体验阶段的Dependency Firewall（依赖防火墙）；以及一套包含五项控制措施的Security Standard（安全标准）³。Anthropic的Claude Mythos 5和5.1将驱动新的修复流程³；就在同一天，杰米·戴蒙称Mythos问世后网络风险“上升了十倍”↗⁴。Azazel从流水线中窃取的每一个令牌，都是GitLab在报告发布一天后推出的这套产品组合中的一个用例。

增长是真的，买单的是毛利率

GitLab于9月1日发布2027财年第二季度财报↗：营收2.8625亿美元，同比增长21.3%；调整后每股收益0.24美元，高于市场预期的0.18美元⁵⁶。但报表往下看，景象完全反转。Non-GAAP毛利率从90%降至86%，GAAP毛利率已连续六个季度下滑，跌至84.1%；经营性现金流由上年同期的净流入4937万美元转为净流出309万美元⁶⁷。付费AI消费的运行率（run rate）已突破4000万美元，而管理层的目标是到财年末超过1亿美元⁶。

70美元对47美元

财报发布次日，Canaccord将目标价从40美元上调至70美元↗⁸。Baird给出59美元的目标价，评级为“跑赢大盘”⁸。巴克莱维持“低配”评级，目标价调至47美元；分析师一致预期为51.75美元⁸。该股10月6日收于51.63美元⁵。多头的依据，一是117%的净收入留存率⁸；二是按GitLab自己的统计，智能体开发（agentic development）用户同比增长200%³。空头的依据，则是毛利率与现金流这两条线。

12月1日见分晓

2027财年第三季度财报将于12月1日出炉 ⁶，全年指引为11.29亿美元至11.33亿美元，等于承认增速放缓至18%或19% ⁶。关键要看Secrets Manager和Duo的消费能否转化为收入，同时毛利率能否守住。对安全的恐惧如今已成一类产品，下一份财报将为它定价。