Een recent ontdekt beveiligingslek in de GitHub-integratie van ChatGPT stelt aanvallers in staat om gevoelige informatie te stelen. Sunil Tripathy, een onderzoeker op het gebied van beveiliging, meldde de kwetsbaarheid op 4 september 2026 en demonstreerde de diefstal van geheimen op 28 september 2026. OpenAI classificeerde het gemelde gedrag op 14 oktober 2026 als "out of scope", waarna Tripathy op 15 oktober 2026 een rapport uitbracht waarin het lek werd beschreven. De kwetsbaarheid, met een CVSS 4.0 score van 9.3, wordt gekarakteriseerd als een indirecte prompt-injectie.

Het lek maakt gebruik van gemanipuleerde instructies binnen een publieke GitHub repository. Wanneer een AI-agent van ChatGPT wordt gevraagd om deze publieke repository te bekijken, interpreteert de agent de instructies als vertrouwde commando's en voert deze uit. Dit kan leiden tot ongewenste wijzigingen in een ander, privé-repository van de gebruiker en het activeren van GitHub Actions.

Het scenario omvatte een aanvaller met een publieke repository en een slachtoffer wiens repositories via ChatGPT toegankelijk waren. In plaats van een analyse van de publieke repository, werd een GitHub Actions-workflow naar een privé-repository gecommit, zonder expliciete toestemming van de gebruiker voor deze specifieke schrijfbewerking. De geactiveerde workflow zou vervolgens het testgeheim AUDIT_CANARY hebben doorgestuurd naar een externe server. Een ogenschijnlijk onschuldige verwijzing in de workflow leidde naar een aparte, aangepaste actie met de logica voor datadiefstal.

Bijkomende uitkomsten van de aanval waren de detectie van privé-repositories, het commiten van door de aanvaller gecreëerde bestanden en het terughalen van aanvalsinstructies uit de Git-geschiedenis. Tripathy stelt dat de aanval op 15 oktober 2026 nog steeds operationeel was. Dit staat in contrast met de documentatie van OpenAI, die de standaard ChatGPT GitHub-app als uitsluitend-lezen beschrijft.

Eerder onderzoek wees al op gerelateerde risico's, zoals het blootstellen van GitHub-tokens door een gepatchte kwetsbaarheid in OpenAI Codex, hoewel dit betrekking had op onveilige branch-naamafhandeling en niet de gemelde prompt-injectieketen. Eerder onderzoek toonde reeds gerelateerde risico's aan met kwaadaardige documenten en gekoppelde Google Drive-gegevens. Tripathy merkte op dat directe instructies doorgaans werden geweigerd, terwijl instructies geformuleerd als implementatievereisten succesvol waren.

Tripathy gebruikte voor zijn testen eigen accounts en een dummy-geheim, waarbij klantgegevens of systemen van derden niet werden getroffen. Een preventieve maatregel is het beperken van de toegang tot repositories tot wat strikt noodzakelijk is voor elke taak. OpenAI bevestigt dat repository-toegang beheerd kan worden via de instellingen van de GitHub-app. Tripathy adviseert om onverwachte workflow-commits te controleren en potentieel blootgestelde geheimen periodiek te rouleren. Zijn controletest toonde aan dat het beperken van de toegang tot slechts één repository cross-repository schrijfbewerkingen effectief blokkeerde.