كشف الباحث المستقل Sunil Tripathy في 15 أكتوبر 2026 عن هجوم حقن تعليمات غير مباشر على موصل GitHub في ChatGPT، يسمح لمستودع عام بدفع المساعد الذكي لكتابة ملف في مستودع خاص بالضحية، ومن ثم إرسال سر منه إلى خادم خارجي. وأوضح الباحث أن OpenAI أغلقت تقريره في 14 أكتوبر بوصفه خارج النطاق، مؤكداً أن الهجوم ما زال فعالاً عند إعادة اختباره في 15 أكتوبر، في حين لم يصدر أي تعليق علني من OpenAI أو GitHub.
وبحسب الإفصاح، ينشئ المهاجم مستودعاً عاماً يضم تعليمات مزروعة، ثم تطلب الضحية، التي ربطت حسابها على GitHub ومنحت المساعد الوصول إلى كافة مستودعاتها، من ChatGPT مراجعة جاهزية النشر لذلك المستودع العام حصراً. يقرأ المساعد التعليمات المزروعة كأوامر تنفيذية، ليضيف بصلاحيات الضحية ملف سير عمل لخدمة GitHub Actions في مستودع خاص آخر تملكه. إثر ذلك، يشغل GitHub الملف على بنيته التحتية، مستخرجاً سراً مخزناً في المستودع لإرساله إلى خادم خارجي، علماً بأن السر المستخدم في الاختبار كان وهمياً تحت اسم AUDIT_CANARY.
وأشار الباحث إلى أن التنفيذ المباشر للطلب قوبل بالرفض، لكنه نجح عند صياغته ضمن متطلبات نشر تحتاج إلى إصلاح. وأضاف أن الملف المضاف يستدعي إجراء مخصصاً يحمل آلية التسريب، ما يجعل الخطوة تبدو بريئة ظاهرياً، حيث تكتفي آليات الحماية بتقييم الطبقة السطحية دون اكتشاف الحمولة المخبأة. كما تمكن المساعد من كتابة ملف يحصي مستودعات الضحية، بما فيها الخاصة، وأعاد بناء ملف محذوف من سجل Git، ما يعني أن حذف الملف لا يوقف الهجوم.
وأجريت الاختبارات على حسابين يملكهما الباحث باستخدام سر وهمي، دون المساس ببيانات العملاء أو أنظمة طرف ثالث. ورغم عدم نشره لحزمة الأدلة الكاملة، أكد إتاحتها عند الطلب. وقدر الباحث خطورة الهجوم بتقييم CVSS 4.0 عند درجة خطورة 9.3، وهو تقييم شخصي في ظل غياب تصنيف رسمي أو معرف للثغرة، وعدم توفر إصلاح معلن حتى الآن.
وتشير صفحة OpenAI الخاصة بربط GitHub إلى أن تطبيق ChatGPT يقتصر على صلاحيات القراءة لتحليل الشيفرات والبحث، مع توجيه مهام توليد الشيفرة وتعديلها ودفعها إلى نموذج Codex، وهو ما يتعارض مع وصف الباحث لعملية كتابة ملف في مستودع خاص، ولم تحسم المصادر طبيعة التكامل أو الصلاحيات التي نُفذ الهجوم من خلالها.
وفي اختبار ضبط أجراه الباحث، لم يكتب المساعد شيئاً حين حصر الموصل في مستودع واحد، إذ أبلغ أن المستودع الهدف غير متاح عبر الحساب المتصل. ويرى أن السبب الجذري هو منح الوصول إلى كل المستودعات افتراضياً. وتقول OpenAI إن الوصول إلى المستودعات يتحكم فيه من GitHub، وتشرح GitHub أن صاحب الحساب يغير وصول التطبيق المثبت إلى “Only select repositories” من صفحة إعدادات التطبيقات. ويوصي الباحث كذلك بمراجعة ملفات .github/workflows بحثاً عن إيداعات لم يكتبها صاحب المستودع، وتدوير الأسرار التي قد يصل إليها مساعد راجع مستودعاً غير موثوق.
