Se ha detectado una falla crítica en la integración de ChatGPT con GitHub que podría permitir el robo de secretos de repositorios privados. Según un informe del 15 de octubre de 2026, un atacante podría manipular las instrucciones de un repositorio para engañar al agente de IA, logrando que este modifique otro repositorio privado y active GitHub Actions para extraer información confidencial.

Un fallo crítico en la integración de ChatGPT con GitHub tiene el potencial de convertir una revisión rutinaria de un repositorio en un ataque de robo de secretos. Un informe publicado el 15 de octubre de 2026 describe un escenario en el que instrucciones manipuladas en un repositorio presuntamente llevan a un agente de IA a modificar un repositorio privado diferente y activar GitHub Actions.

Según la revelación del investigador Sunil Tripathy, la configuración involucraba dos cuentas de GitHub separadas. El atacante controlaba un repositorio público que contenía instrucciones ocultas. La cuenta de la víctima había conectado GitHub a ChatGPT con acceso concedido a todos sus repositorios.

Tripathy asigna al hallazgo una puntuación CVSS 4.0 de 9.3. Esa calificación es su evaluación personal, no una clasificación confirmada por el proveedor. Su informe indica que las pruebas utilizaron cuentas propiedad del investigador y un secreto ficticio, sin que se vieran afectados datos de clientes ni sistemas de terceros.

Según se informa, una solicitud para revisar el repositorio público provocó que el agente siguiera esas instrucciones como comandos confiables. En lugar de limitar su trabajo al análisis, realizó un commit de un flujo de trabajo de GitHub Actions en un repositorio privado diferente, utilizando el acceso existente de la víctima.

El flujo de trabajo presuntamente se ejecutó automáticamente y envió el secreto de prueba, AUDIT_CANARY, a un servidor externo. Tripathy afirma que el usuario no nombró el segundo repositorio ni aprobó la operación de escritura.

Este es un escenario de inyección de prompts indirecta, donde las instrucciones hostiles llegan a través de material que el asistente lee. Investigaciones previas de AgentFlayer demostraron riesgos relacionados que involucraban documentos maliciosos y datos conectados de Google Drive.

Fallo del Conector de ChatGPT con GitHub

Tripathy informa que el lenguaje directo provocó un rechazo, mientras que las instrucciones redactadas como requisitos de despliegue tuvieron éxito. Dice que una referencia a un flujo de trabajo con apariencia inocente apuntaba a una acción personalizada separada que contenía la lógica de robo de datos.

Otros resultados reportados incluyeron el descubrimiento de repositorios privados, commits de archivos escritos por el atacante y la recuperación de instrucciones de ataque desde el historial de Git. Estos siguen siendo hallazgos reportados por el investigador y no resultados verificados independientemente.

Una distinción clave del producto sigue sin resolverse. La documentación de GitHub de OpenAI describe la aplicación estándar de ChatGPT para GitHub como de solo lectura y redirige a los usuarios a Codex para editar y subir código. Esto entra en conflicto con los commits de flujo de trabajo reportados, lo que hace que la integración exacta, los permisos y la ruta de ejecución sean esenciales para confirmar el alcance afectado.

Un fallo separado de inyección de comandos en OpenAI Codex, previamente parcheado, también expuso tokens de GitHub, pero implicaba un manejo inseguro de los nombres de las ramas en lugar de esta cadena de inyección de prompts reportada.

Tripathy dice que informó primero sobre el comportamiento relacionado el 4 de septiembre, demostró el robo de secretos el 28 de septiembre y recibió un cierre por estar "fuera de alcance" el 14 de octubre. Afirma que el ataque seguía funcionando cuando volvió a probarlo el 15 de octubre. Estas declaraciones no establecen una vulnerabilidad confirmada por el proveedor ni el estado de un parche.

Para ti, como defensor, la precaución más clara es limitar el acceso a los repositorios conectados a lo que cada tarea necesite. OpenAI confirma que el acceso al repositorio puede cambiarse a través de la configuración de la aplicación de GitHub.

Tripathy también recomienda revisar los commits de flujos de trabajo inesperados y rotar los secretos potencialmente expuestos. Su prueba de control presuntamente bloqueó las escrituras entre repositorios cuando el acceso se restringió a un solo repositorio, respaldando los permisos restringidos como una salvaguarda práctica contra la ruta de ataque demostrada.

Fuentes:
https://cybersecuritynews.com/chatgpt-github-connector-flaw/