Šta se desilo?

Istraživač Sunil Tripathy objavio je 15. oktobra 2026. prijavu indirektnog prompt injection napada preko integracije koju opisuje kao ChatGPT GitHub konektor. Navodi da je sadržaj javnog repozitorijuma naveo agenta da izmeni drugi, privatni repozitorijum i pokrene GitHub Actions workflow. Testovi su, prema autoru, koristili njegove naloge i izmišljenu tajnu AUDIT_CANARY, bez podataka drugih korisnika.

Koga pogađa?

Demonstrirani scenario, prema prijavi, zahteva pristup većem broju repozitorijuma i mogućnost upisa workflow datoteka. Opseg nije nezavisno potvrđen. Aktuelna OpenAI dokumentacija opisuje GitHub aplikaciju u ChatGPT-u kao namenjenu čitanju, dok za izmene i slanje koda upućuje na Codex. Zato nije opravdano tvrditi da su svi korisnici standardne GitHub aplikacije pogođeni opisanim upisima.

Kako se zaštititi?

Ograničite povezanu aplikaciju na repozitorijume potrebne za konkretan posao. Pregledajte neočekivane izmene workflow datoteka i GitHub Actions izvršavanja. Tajne rotirajte kada postoji razlog da sumnjate da su bile izložene, a ne automatski sve tajne samo zbog čitanja ove prijave.

Tehnički detalji

Indirektna prompt injection podrazumeva da agent nepouzdan sadržaj tretira kao nalog za delovanje. Autor tvrdi da je workflow pozvao spoljašnju akciju koja je poslala probnu tajnu i da je ograničavanje pristupa na jedan repozitorijum sprečilo upis u drugi. CVSS 4.0 ocena 9,3 potiče od istraživača; nije potvrđena ocena proizvođača. U pregledanim izvorima nije naveden dodeljeni CVE niti potvrđena eksploatacija van testnog okruženja.

Zašto je važno?

Ako agent može da piše kod i pokreće automatizaciju, pogrešno prihvaćene instrukcije mogu imati posledice izvan početnog zadatka. Prijava pokazuje zašto je važno proveriti stvarne dozvole konkretne integracije i odvojiti rezultate demonstracije od tvrdnji o incidentima kod korisnika.

Preporuka Sajber Radara

Proverite instaliranu GitHub aplikaciju, njen opseg repozitorijuma i dozvole za pisanje. Za osetljive promene koristite obavezan pregled. Autor navodi da je prijava zatvorena kao van opsega programa i da je test ponovio 15. oktobra; to nije nezavisna potvrda statusa zakrpe niti dokaz da je proizvođač potvrdio ranjivost.