Критичен дефект в интеграцията на ChatGPT с GitHub има потенциала да превърне рутинен преглед на хранилище в атака за кражба на тайни (secrets). Доклад, публикуван на 15 октомври 2026 г., описва сценарий, при който манипулирани инструкции в хранилище уж водят до това AI агент да модифицира друго, частно хранилище и да задейства GitHub Actions.
Според разкритието на изследователя Сунил Трипати (Sunil Tripathy), постановката включва два отделни акаунта в GitHub. Атакуващият контролира публично хранилище, съдържащо скрити инструкции. Акаунтът на жертвата е свързал GitHub с ChatGPT с предоставен пълен достъп до всички свои хранилища.
Трипати оценява откритието с оценка 9.3 по CVSS 4.0. Този рейтинг е негова лична оценка, а не потвърдена от доставчика класификация. В разкритието му се посочва, че тестването е проведено с контролирани от изследователя акаунти и фиктивна тайна, без засегнати клиентски данни или системи на трети страни.
Заявка за преглед на публичното хранилище според съобщенията е накарала агента да изпълни тези инструкции като надеждни команди. Вместо да ограничи работата си само до анализ, той е публикувал (commit) работен процес на GitHub Actions в друго, частно хранилище, използвайки съществуващия достъп на жертвата.
Работният процес се е задействал автоматично и е изпратил тестовата тайна, AUDIT_CANARY, към външен сървър. Трипати заявява, че потребителят нито е посочил второто хранилище, нито е одобрил операцията по запис.
Това представлява сценарий на непряка инжекция на промпт (indirect prompt injection), при който враждебни инструкции постъпват чрез материал, който асистентът чете. По-ранно изследване на AgentFlayer демонстрира подобни рискове, включващи злонамерени документи и свързани данни от Google Drive.
Дефект в GitHub конектора на ChatGPT
Трипати съобщава, че преките формулировки са предизвикали отказ, докато инструкции, оформени като изисквания за внедряване, са постигнали успех. Той посочва, че на пръв поглед невинен работен процес е препращал към отделно персонализирано действие, съдържащо логика за кражба на данни.
Допълнително докладваните резултати включват откриване на частни хранилища, добавяне на файлове от атакуващия и извличане на инструкции за атака от историята на Git. Това остават констатации, докладвани от изследователя, а не независимо проверени резултати.
Ключово продуктово разграничение остава неизяснено. Документацията на OpenAI за GitHub описва стандартното приложение на ChatGPT за GitHub като имащо права само за четене и препраща потребителите към Codex за редактиране и качване на код. Това противоречи на докладваните записи на работни процеси, което прави точната интеграция, правата и пътя на изпълнение от съществено значение за потвърждаване на засегнатия обхват.
Отделен, предварително отстранен дефект за инжектиране на команди в OpenAI Codex също е излагал токени на GitHub, но е включвал незащитена обработка на имена на клонове, а не тази докладвана верига от инжектиране на промпт.
Трипати твърди, че първо е докладвал подобно поведение на 4 септември, демонстрирал е кражба на тайни на 28 септември и е получил отговор за закриване на сигнала като „извън обхват“ (out of scope) на 14 октомври. Той споделя, че атаката все още е работила при повторен тест на 15 октомври. Тези твърдения не установяват потвърдена от доставчика уязвимост или статус на коригиране на уязвимостта.
За специалистите по защита най-ясната предпазна мярка е ограничаването на достъпа до свързаните хранилища само до необходимото за всяка конкретна задача. OpenAI потвърждава, че достъпът до хранилищата може да бъде променен чрез настройките на приложението в GitHub.
Трипати също така препоръчва преглед на неочаквани записи на работни процеси и подмяна на потенциално изложени тайни. Неговият контролен тест според доклада е блокирал записите между различни хранилища, когато достъпът е бил сведен само до едно хранилище, което подкрепя строгото ограничаване на правата като практическа защита срещу демонстрирания вектор на атака.