GitBook Discloses AI-Assisted Security Incident; API Tokens Revoked

2026 11 06 05 gitbook ai assisted security incident api tokens revoked 1200x630 v1

GitBook ເປີດເຜີຍເຫດການຄວາມປອດໄພທີ່ໃຊ້ AI ຊ່ວຍ; ຍົກເລີກ API token

GitBook ລະບຸໃນບົດສະຫລຸບທາງການວ່າ ໃນວັນທີ 2 ພະຈິກ 2026 ຜູ້ໂຈມຕີໃຊ້ຊ່ອງໂຫວ່ໃນລະບົບເຂົ້າສູ່ລະບົບ SSO ເພື່ອສ້າງເຊດຊັນພະນັກງານ, ຈາກນັ້ນເຂົ້າເຖິງຄັງໂຄດພາຍໃນ ແລະ ກະແຈ API ຂອງ Cloudflare, ເຮັດໃຫ້ເຂົ້າເຖິງໂຄງລ່າງຜະລິດໄດ້ປະມານ 2 ຊົ່ວໂມງ 45 ນາທີ ໃນຄືນນັ້ນ ແລະ ປະມານ 40 ນາທີໃນຕອນເຊົ້າວັນທີ 3 ພະຈິກ. ຂໍ້ມູນລູກຄ້າທີ່ເຂົ້າເຖິງໄດ້, ອີງຕາມ GitBook, ລວມມີ API token, token ແລະ ຄວາມລັບຂອງການເຊື່ອມຕໍ່, ຄວາມລັບລາຍເຊັນເຊດຊັນ, ຄຳຖາມທີ່ຖາມ GitBook Assistant, ເວັບເອກະສານທີ່ຕ້ອງຢືນຢັນຕົວຕົນ ແລະ ຂອບເຂດ GitHub ຫລື GitLab. ຂໍ້ມູນບິນ, ລະຫັດຜ່ານ ແລະ ທີ່ຢູ່ IP ບໍ່ຖືກເຈາະ, ແລະ GitBook ບໍ່ພົບຫລັກຖານວ່າເນື້ອຫາຂອງລູກຄ້າອື່ນຖືກແກ້ໄຂ.

GitBook ລະບຸວ່າ ໄດ້ຕັດສິນໃຈປິດແອັບຊົ່ວຄາວ, ໝຸນຄວາມລັບ, ຍົກເລີກ API token ທີ່ອອກກ່ອນຈຸດຕັດ ແລະ ເປີດບໍລິການເຕັມຮູບແບບຄືນເວລາ 11:56 UTC ວັນທີ 3 ພະຈິກ, ຫລັງປິດປະມານ 16 ຊົ່ວໂມງ. ລູກຄ້າທີ່ຍັງບໍ່ທັນດຳເນີນການ ຄວນສ້າງ API token ໃໝ່ ແລະ ໝຸນຄວາມລັບຂອງເຄື່ອງມືພາກສ່ວນທີສາມ ຫລື ການເຊື່ອມຕໍ່. GitBook ອະທິບາຍວ່າ ຄວາມໄວຂອງການໂຈມຕີ ຊີ້ໄປຫາອັດຕະໂນມັດ ແລະ AI. Decrypt ລາຍງານແຍກວ່າ PancakeSwap ໄດ້ປິດເອກະສານເທິງ GitBook ເປັນການປ້ອງກັນ — ເປັນລາຍງານສຳຮອງ, ບໍ່ແມ່ນຄຳຖະແຫລງຂອງ GitBook.

ພະນັກງານ bitqik ຈະບໍ່ຂໍລະຫັດຜ່ານ, ລະຫັດ 2FA ຫລື seed phrase ຂອງທ່ານ.

ເງິນຄຣິບໂຕ ບໍ່ແມ່ນເງິນ ແລະ ບໍ່ແມ່ນເຄື່ອງມືຊຳລະທີ່ຖືກຕ້ອງຕາມກົດໝາຍ ຂອງ ສປປ ລາວ (ແຈ້ງການ ທະນາຄານແຫ່ງ ສປປ ລາວ ເລກທີ 156/ຫກ, ລົງວັນທີ 11 ສິງຫາ 2021).

GitBook said in its official post-mortem that on 2 November 2026 an attacker exploited a flaw in its SSO login flow to create staff sessions, then reached internal repositories and a Cloudflare API key, gaining production infrastructure access for about 2 hours 45 minutes that evening and about 40 minutes early on 3 November. Accessible customer data, GitBook said, included API tokens, integration tokens and secrets, session signing secrets, questions asked to GitBook Assistant, authenticated docs sites and GitHub or GitLab app scopes. Billing information, passwords and IP addresses were not compromised, it said, and it found no evidence that other customers’ content was modified.

GitBook said it deliberately took the app offline, rotated secrets, invalidated API tokens issued before its cutoff and restored full service at 11:56 UTC on 3 November, after about 16 hours of downtime. Customers who have not already acted, it said, should create new API tokens and rotate third-party or integration secrets. GitBook described the speed of the attack as pointing to automation and AI. Decrypt separately reported that PancakeSwap took its GitBook docs offline as a precaution — a secondary report, not a GitBook claim.

bitqik staff will never ask for your password, 2FA code or seed phrase.

Cryptocurrency is not money and is not a lawful means of payment in the Lao PDR (Bank of the Lao PDR Notice No. 156/ຫກ, 11 August 2021).

Source: GitBook security incident / post-mortem – https://www.gitbook.com/status/security-incident-2026-11-03

Additional sources: