它没偷密钥，它打印了密钥 (2026)

Wiz 10 月 25 日这份报告里最刺眼的不是 850 个账号，是那几行 YAML：把整个 secrets 上下文编码，打印进自己的运行日志1。GitHub 的掩码只认逐字匹配、编码后的值要自己另登记，这两句都写在它的文档里2；而唯一挡住它的那道闸——运行前要有人批准——只对公开仓库默认打开3。私有仓库与 GHES 里它跑完了，痕迹留在 CloudTrail1。