ChatGPT e connettore GitHub: prompt injection può portare al furto di secret privati

• Un ricercatore descrive una prompt injection nel connettore GitHub di ChatGPT, con furto di un secret di test
• Punteggio CVSS 4.0 di 9.3 assegnato dal ricercatore; nessuna conferma di OpenAI né stato della patch
• Gli utenti con repository collegati sono esposti: l'accesso concesso a tutti i repository amplia il rischio
• Ridurre i permessi a un solo repository, controllare i commit dei workflow e ruotare i secret

Una falla definita critica nell’integrazione tra ChatGPT e GitHub potrebbe trasformare una normale revisione di un repository in un furto di credenziali. Lo descrive un report pubblicato il 15 ottobre 2026 dal ricercatore Sunil Tripathy. Il caso è ancora una segnalazione del ricercatore, non una vulnerabilità confermata da OpenAI.

Lo scenario descritto

Il test ha coinvolto due account GitHub distinti, entrambi di proprietà del ricercatore. L’attaccante controllava un repository pubblico con istruzioni nascoste. L’account della vittima aveva collegato GitHub a ChatGPT, concedendo l’accesso a tutti i propri repository.

Alla richiesta di rivedere il repository pubblico, l’agente avrebbe trattato quelle istruzioni come comandi affidabili. Invece di limitarsi all’analisi, avrebbe inserito un workflow di GitHub Actions in un altro repository, privato, sfruttando l’accesso già concesso alla vittima.

Il workflow sarebbe partito in automatico e avrebbe inviato a un server esterno un secret fittizio, chiamato AUDIT_CANARY. Secondo Tripathy, l’utente non aveva indicato il secondo repository né approvato la scrittura.

Il meccanismo

Si tratta di una indirect prompt injection: istruzioni ostili arrivano attraverso contenuti che l’assistente legge, non dall’utente. Una ricerca precedente, AgentFlayer, aveva mostrato rischi analoghi con documenti malevoli e dati collegati di Google Drive.

Il ricercatore riferisce che una formulazione diretta veniva rifiutata, mentre istruzioni presentate come requisiti di deployment funzionavano. Un riferimento a un workflow dall’aspetto innocuo puntava a una custom action separata, che conteneva la logica di sottrazione dei dati.

Tra gli altri esiti segnalati: l’individuazione di repository privati, il commit di file scritti dall’attaccante e il recupero delle istruzioni d’attacco dalla cronologia Git. Anche questi risultati non sono verificati in modo indipendente.

Punti ancora aperti

• Il punteggio CVSS 4.0 di 9.3 è una valutazione dello stesso Tripathy, non una classificazione del vendor.
• Il test ha usato account del ricercatore e un secret fittizio. Non sono stati coinvolti dati di clienti né sistemi di terzi.
• La documentazione GitHub di OpenAI descrive l’app standard di ChatGPT come di sola lettura e indirizza a Codex per modificare e inviare codice. Questo contrasta con i commit di workflow riportati. Integrazione, permessi e percorso di esecuzione vanno quindi chiariti per definire l’ambito colpito.
• Una falla distinta di command injection in OpenAI Codex, già corretta, aveva esposto token GitHub. Riguardava la gestione non sicura dei nomi dei branch, non questa catena.

Cronologia della segnalazione

Tripathy afferma di aver segnalato un comportamento correlato il 4 settembre e di aver dimostrato il furto del secret il 28 settembre. Il 14 ottobre avrebbe ricevuto una chiusura come «out of scope». Dice che l’attacco funzionava ancora al nuovo test del 15 ottobre. Queste dichiarazioni non provano né una conferma del vendor né lo stato di una patch.

Cosa fare

• Limitare l’accesso dei repository collegati a ciò che serve per ogni attività. OpenAI conferma che l’accesso si modifica dalle impostazioni dell’app GitHub.
• Controllare i commit di workflow inattesi.
• Ruotare i secret potenzialmente esposti.

Nel test di controllo del ricercatore, restringere l’accesso a un solo repository ha bloccato le scritture tra repository. Per il percorso di attacco dimostrato, i permessi ristretti sono quindi una difesa pratica.

Indicatori di compromissione (IoC)

AUDIT_CANARY

Fonte: Cyber Security News · Foto: Cyber Security News