GitHubで奇妙なリポジトリ削除が発生：Anthropicに買収された企業がコードを整理し、顧客のコードが2秒で消え、一時はハッカー侵入と誤解された

動察 Beating AI 速報、今年5月、AnthropicはSDK生成ツール企業Stainlessを買収した。後者は直ちに既存のホスティングサービスの段階的終了を発表した。10月27日、Stainlessの関係者が自社のGitHubプライベートリポジトリを削除したところ、なんと顧客のコードまで一緒に消えてしまった。

被害に遭ったのは決済プラットフォームのDodo Paymentsだ。同社は以前、StainlessのプライベートリポジトリからコードをFork（複製）しており、SDK生成プロセス全体がこのリポジトリに依存していた。Stainlessが元のリポジトリを削除すると、2秒も経たないうちにDodoのプライベートリポジトリも自動的に削除され、しかも事前の通知はなかった。

実はGitHubにはルールがあり、プライベートリポジトリを削除すると、その配下のすべてのプライベートForkも一括削除される。さらに驚くべきことに、Dodoの監査ログには社外の人物が`repo.destroy`を実行したとしか表示されておらず、これが上流の削除に起因する連鎖的な操作であることは記載されていなかった。共同創業者のAyush Agarwal氏は相手の権限記録を一切見つけられず、リポジトリも復元可能リストになかったため、一時は会社がハッキングされたと思い込んだ。

GitHubのサポートがその後、チームの原因究明を助けた。幸いDodoにはローカルにコードのコピーが残っており、最終的に独立したリポジトリとして再アップロードされ、SDKは稼働を回復した。

Agarwal氏はGitHubに対し、監査ログに上流の削除理由を明記するよう求めている。また、他のStainless顧客に対しても、上流に依存しているプライベートForkを早急に独立したリポジトリに切り替えるよう注意を促した。