Gas Town brukte brukernes Claude-kreditter og GitHub-konto til å fikse egne bugs
torsdag 16. april · KI-generert · Kilde: GitHub / Gas Town
Gas Town ble avslørt for å bruke brukernes Claude-kreditter og GitHub-tilgang til å rette bugs i sin egen kodebase, uten at dette var opplyst noe sted.
En GitHub-issue (#3649) fra en bruker av Gas Town, et KI-agentverktøy for utviklere, avdekker at verktøyet ved installasjon følger med to formler — gastown-release.formula.toml og beads-release.formula.toml — som automatisk setter i gang agentjobber på brukerens maskin. Disse jobbene plukker opp åpne issues fra vedlikeholderens eget GitHub-repo og sender PRs tilbake, alt signert med brukerens GitHub-konto og betalt med brukerens LLM-kreditter.
Brukeren oppsummerer det slik etter å ha brukt Claude til å undersøke kildekoden:
«Your Claude credits funded fixes to the maintainer's codebase, and your GitHub account submitted PRs to his repo» — GitHub-issue #3649
Kjerneproblemet er ikke at funksjonaliteten finnes, men at den verken er nevnt i README, dokumentasjon eller installasjonsprosessen. Ingen opt-in, ingen opt-out, ingen advarsel. Brukere som tester verktøyet på hobby-budsjetter har finansiert vedlikeholderens open source-utvikling uten å vite det.
Saken treffer en nerve: KI-verktøy med API-tilgang opererer i en tillitsøkonomi. Når et verktøy har tilgang til både din LLM-nøkkel og GitHub-konto, er det rimelig å forvente full transparens om hva det faktisk gjør med den tilgangen.
Hva bør du gjøre?
- Gå gjennom hvilke verktøy som har tilgang til dine API-nøkler og GitHub-konto
- Sjekk konfigurasjonsfilene til KI-agentverktøy du har installert — særlig formler, workflows og automation-scripts som kan kjøre i bakgrunnen
- Bruk dedikerte API-nøkler med utgiftsgrenser for eksperimentelle verktøy