I marts offentliggjorde Wiz en command injection-fejl i GitHub. Enhver med push-adgang til et hvilket som helst repository på github.com kunne køre kode som git-brugeren på den storage node, der husede millioner af andre menneskers repositories. GitHub patchede den offentlige side på to timer. De fleste on-premise Enterprise-installationer var stadig upatched, da nyheden ramte. Detaljen, der betød mest for resten af os: Wiz fandt fejlen med AI.
Én platform, fire indgange
Se på de GitHub-relaterede overskrifter fra de sidste atten måneder. Wiz-fundet stod side om side med tj-actions/changed-files, en GitHub Action brugt af treogtyve tusinde repositories, der i stilhed blev omskrevet under alle, der afhang af den, efter en angriber havde siddet på et stjålet Personal Access Token i seks måneder. Så CamoLeak, hvor usynlig markdown i en pull request bad Copilot Chat om at smugle hemmeligheder ud gennem GitHubs egen image proxy. Så Lasso-afsløringen om, at Bings cache, og senere Copilot selv, stadig serverede indhold fra repositories, der var gjort private.
Fire forskellige angrebsklasser. Atten måneder. Én platform.
Det her er et problem med selve formen
Centraliseret SaaS for kildekode er et mål af samme grund, som det er nyttigt: det samler meget værdifuld kode ét sted, på én operatørs infrastruktur, bag ét sæt forsvar. Hvad der kommer igennem det forsvar, kommer igennem til alle på platformen på én gang. Tempoet er den anden halvdel. Wiz-forskerne brugte AI-værktøjer til at læse closed-source binaries og reverse-engineere de interne protokoller. Samme slags værktøj, som resten af os bruger til at autocomplete en funktion, fandt en sårbarhed, der satte millioner af repositories inden for rækkevidde. Uanset hvad du tror tempoet af nye fund bliver det næste årti, bliver det rigtige tal højere. AI bliver ikke træt.
Den nederlandske regering læste de samme overskrifter og handlede. I april soft-launchede de code.overheid.nl, en selv-hostet Forgejo-instans drevet af deres egen Open Source-afdeling. Deres begrundelse, ord for ord: "Hosting af kildekode er en kritisk komponent af den nederlandske regerings infrastruktur. Regeringen har ikke råd til risikoen for, at kode eller binaries i repositories bliver manipuleret, da folk kan eksekvere dem direkte." En national regering på tryk om, at de ikke kan have deres kode manipuleret på en andens kasse. Det er det voksne svar.
Hvad managed self-hosting betyder
Managed self-hosting er svaret for teams, der vil have suveræniteten uden at drive ops-teamet. Jeres Git-platform kører på dedikeret single-tenant hardware. Nøglerne, dataen og audit trail er jeres. Vi deployer det, patcher det, tager backup, monitorerer det og kontakter jer, hvis noget kræver opmærksomhed. Ingen delt applikation. Ingen andre lejere i samme instans. Forsvarsperimeteren slutter ved jeres team, ikke ved en platforms kant.
Den praktiske del, der betyder mest for operatører, er nærhed. Jeres data er der, når I har brug for dem. I kan logge ind på serveren og læse backuppen af disken selv. I kan auditere, hvem der har adgang, og fjerne den uden en supportsag. Når den næste afsløring rammer, står I ikke i kø med firs tusinde andre virksomheder og venter på et patch window.
Hvorfor Gitea
Gitea ser ud og føles som GitHub. Pull requests, issues, project boards, Actions runners til CI, et container- og package registry. De fleste teams flytter over på en eftermiddag og opdager, at den daglige workflow er den samme. Den kører fint på beskeden hardware, skalerer horisontalt for de dele, der har brug for det, og er open source, så vejen ud er reel, hvis jeres behov ændrer sig.
Vi kører vores egen engineering på Gitea. Hver linje kode, vores team sender afsted, går igennem den: pull requests, Actions-drevne releases, package registry, der huser vores Go-moduler og container images. Vores CRM, helpdesk, projekttracker og Platform Demo, som vores agenter arbejder på, ligger alle på det samme dedikerede hardware. Alt, hvad vi shipper, kører på den infrastruktur, vi ville sætte en kunde på i morgen.
Hvem det her er til
Det her er til softwareteams med fem til halvtreds mennesker, der skriver kode, der betyder noget. Digitale bureauer, hvis kunders kodebaser er en del af leverancen. Softwarefirmaer med følsom IP, offentligt kontraktarbejde eller compliance-forpligtelser under DORA, NIS2 eller GDPR, der bliver lettere, når audit-grænsen er jeres egen server. Det er ikke til hobbyprojekter eller startups med tre mand, der brænder runway af; for dem er SaaS-præmien stadig det værd. Spørgsmålet er, om værktøjet, der holder jeres teams kildekode, skal sidde på en andens platform sammen med alle andres.
Tid til at tage kontrollen?
Overskrifterne kommer ikke til at sagtne. Den næste afsløring bliver skrevet lige nu af en forsker, der kører en reverse-engineering-loop natten over, mens verden sover. Svaret er det samme, som den nederlandske regering landede på: få jeres kildekode over på hardware, I kontrollerer, med nøgler, I holder, og nogen kompetente til at holde det kørende.