Instruções escondidas em um repositório público do GitHub conseguem fazer o agente do ChatGPT alcançar repositórios privados da vítima, gravar workflow neles e exfiltrar o que está guardado ali. O caminho foi demonstrado pelo pesquisador Sunil Tripathy, que lhe atribuiu nota 9.3.
A técnica é injeção indireta de prompt. A vítima pede ao agente que revise o repositório público do atacante, e as instruções plantadas ali passam a ser seguidas como se fossem comando confiável do próprio usuário.
Pedido direto para roubar dado foi recusado pelo agente. O que funcionou foi apresentar a instrução como requisito de implantação. O workflow do GitHub Actions gravado parecia inofensivo e apontava para uma action externa que continha a lógica de exfiltração.
No teste, um segredo fictício chamado AUDIT_CANARY saiu para um servidor controlado pelo pesquisador. O agente também localizou repositórios privados e gravou neles arquivos escritos pelo atacante, o que mostra leitura e escrita no acervo da vítima.
Para funcionar, a vítima precisa ter ligado o GitHub ao ChatGPT concedendo acesso a todos os repositórios. Ela não precisa nomear o repositório privado atingido nem aprovar a escrita, e o atacante só precisa controlar o repositório público revisado.
A documentação da OpenAI descreve o aplicativo do GitHub como somente leitura, enquanto o fluxo relatado inclui commit em outro repositório. Não existe CVE, o relato foi fechado como fora de escopo em 14 de outubro e o teste ainda funcionava no dia 15.
Sem correção publicada, a medida disponível é limitar o acesso do conector aos repositórios necessários a cada tarefa, o que nos testes bloqueou a escrita entre repositórios. Vale revisar commit inesperado de workflow e rotacionar segredo exposto.
