GitBook 于 11 月 4 日发布事故复盘报告。11 月 2 日，攻击者利用 SSO 登录流程漏洞伪造员工会话，经配置错误的 GitHub App 取得内部代码仓库与 Cloudflare API 密钥，进而访问生产环境密钥并获基础设施权限。
时间线显示，11 月 3 日 00:32 取得员工会话与源码，01:48 进入生产环境，03:58 修复 SSO 漏洞，04:32 隔离账号并下线应用；11 月 3 日 11:56 密钥轮换完毕，服务恢复，停机约 16 小时。
攻击者访问生产环境期间可触及 GitBook API 令牌、集成令牌与密钥、会话签名密钥、认证访问文档站点、GitHub 与 GitLab 仓库及客户内容。账单信息、密码、IP 地址未泄露，未发现客户内容被修改证据。
调查指向针对单一客户的定向攻击，GitBook 按全部客户数据已暴露处理，已轮换全部基础设施及客户密钥、作废旧 API 令牌，并称攻击由 AI 代理驱动。报告由 CEO Sara Tandowsky 与联合创始人兼 CTO Samy Pessé 署名。
