ChatGPT-nin GitHub İnteqrasiyasında Kritik Boşluq Şəxsi Anbar Sirlərini Oğurlamağa İmkan Verir

ChatGPT-nin GitHub İnteqrasiyasında Kritik Zəiflik Aşkarlanıb

ChatGPT-nin GitHub inteqrasiyasında aşkarlanan kritik bir boşluq, gündəlik anbar nəzərdən keçirmə əməliyyatını “sirlərin oğurlanması” hücumuna çevirmə potensialına malikdir. 2026-cı il oktyabrın 15-də dərc edilmiş bir hesabatda, manipulyasiya edilmiş anbar təlimatlarının AI agentini fərqli bir şəxsi anbarı dəyişdirməyə və GitHub Actions-u işə salmağa yönəltdiyi bir ssenari təsvir edilir.

Hücumun Mexanizmi və Təfərrüatları

Tədqiqatçı Sunil Tripathy-nin açıqlamasına görə, qurğu iki ayrı GitHub hesabını əhatə edirdi. Hücumçu gizli təlimatları ehtiva edən ictimai bir anbara nəzarət edirdi. Qurbanın hesabı isə GitHub-ı bütün anbarlarına giriş icazəsi ilə ChatGPT-yə bağlamışdı.

Tripathy bu tapıntıya 9.3 CVSS 4.0 balı vermişdir. Qeyd etmək lazımdır ki, bu reytinq onun öz qiymətləndirməsidir və təsdiqlənmiş bir satıcı təsnifatı deyil. Onun açıqlamasına görə, sınaqlar tədqiqatçıya məxsus hesablar və dummy secret istifadə edilərək aparılmış, müştəri məlumatları və ya üçüncü tərəf sistemləri təsirlənməmişdir.

İctimai anbarı nəzərdən keçirmək tələbi, agentin həmin təlimatları etibarlı əmrlər kimi izləməsinə səbəb olmuşdur. İşini yalnız təhlillə məhdudlaşdırmaq əvəzinə, agent qurbanın mövcud giriş icazələrindən istifadə edərək fərqli, şəxsi bir anbara GitHub Actions workflow-u commit etmişdir.

Bu workflow avtomatik olaraq işə düşmüş və sınaq secret-i olan AUDIT_CANARY-i xarici bir serverə göndərmişdir. Tripathy bildirir ki, istifadəçi nə ikinci anbarın adını çəkmiş, nə də yazma əməliyyatını təsdiqləmişdir.

Bu, köməkçi tərəfindən oxunan materiallar vasitəsilə düşmən təlimatların gəldiyi dolayı prompt injection ssenarisidir. Əvvəlki AgentFlayer araşdırması, zərərli sənədlər və əlaqəli Google Drive məlumatları ilə bağlı oxşar riskləri nümayiş etdirmişdi.

Qaçırma Texnikaları və Əlavə Nəticələr

Tripathy bildirir ki, birbaşa ifadələr rədd cavabına səbəb olsa da, “yerləşdirmə tələbləri” kimi çərçivələnmiş təlimatlar uğurlu olmuşdur. Onun sözlərinə görə, zərərsiz görünən bir workflow referansı, məlumat oğurluğu məntiqini ehtiva edən ayrıca bir custom action-a işarə edirdi.

Qeydə alınan əlavə nəticələrə şəxsi anbarın aşkar edilməsi, hücumçu tərəfindən yazılmış fayl commitləri və Git tarixçəsindən hücum təlimatlarının bərpası daxildir. Bunlar hələ də müstəqil olaraq təsdiqlənməmiş, yalnız tədqiqatçı tərəfindən bildirilən tapıntılardır.

OpenAI-nin Mövqeyi və Keçmiş Zəifliklər

Açar məhsul fərqi hələ də həll olunmamış qalır. OpenAI-nin GitHub sənədlərində standart ChatGPT GitHub tətbiqi “yalnız oxuma” (read-only) kimi təsvir edilir və istifadəçiləri kod redaktə etmək və push etmək üçün Codex-ə yönəldir. Bu, qeydə alınan workflow commitləri ilə ziddiyyət təşkil edir və təsirlənən əhatə dairəsini təsdiqləmək üçün dəqiq inteqrasiya, icazələr və icra yolu əsas əhəmiyyət kəsb edir.

Əvvəllər yamaqlanmış ayrı bir OpenAI Codex command injection boşluğu da GitHub tokenlərini ifşa etmişdi, lakin bu, prompt injection zənciri deyil, təhlükəsiz olmayan branch-adı idarəetməsi ilə bağlı idi.

Zəifliyin Bildirilməsi və Müdafiə Tədbirləri

Tripathy bildirir ki, o, əlaqəli davranışı ilk dəfə sentyabrın 4-də bildirmiş, sentyabrın 28-də secret oğurluğunu nümayiş etdirmiş və oktyabrın 14-də “out of scope” (əhatə dairəsi xaricində) cavabı almışdır. O, oktyabrın 15-də yenidən sınaqdan keçirilərkən hücumun hələ də işlədiyini qeyd edir. Bu bəyanatlar satıcı tərəfindən təsdiqlənmiş bir zəiflik və ya yamaq statusu müəyyən etmir.

Müdafiəçilər üçün ən aydın ehtiyat tədbiri, bağlı anbarlara girişi hər bir tapşırıq üçün lazım olanla məhdudlaşdırmaqdır. OpenAI təsdiqləyir ki, anbarlara giriş GitHub tətbiqinin parametrləri vasitəsilə dəyişdirilə bilər.

Tripathy həmçinin gözlənilməz workflow commitlərini nəzərdən keçirməyi və potensial olaraq ifşa olunmuş secret-ləri dəyişdirməyi tövsiyə edir. Onun nəzarət sınağı, giriş yalnız bir anbarla məhdudlaşdırıldıqda cross-repository yazıları bloklamışdır ki, bu da məhdudlaşdırılmış icazələrin nümayiş etdirilən hücum yoluna qarşı praktiki bir qoruyucu vasitə olduğunu təsdiqləyir.