新たに公開された脆弱性の報告によると、ChatGPT の GitHub コネクターに、間接的なプロンプトインジェクションを通じてリポジトリのシークレットを盗み出せる問題があるとされています。
2026年10月15日に公開されたこの報告では、研究者が算出した CVSS 4.0 スコアは 9.3 で、深刻度は「Critical（緊急）」と評価されています。報告者の Tripathy 氏は、通常のリポジトリレビューをきっかけに、ユーザーへの追加確認なしで不正な書き込みとシークレットの窃取が発生したと述べています。
同氏は自身のウェブサイトでこの発見を公開しています。ただし、主張の内容について独自の検証は行っていません。報告された攻撃は、ユーザーが ChatGPT に対し、攻撃者の管理する公開リポジトリのレビューを依頼するところから始まります。
リポジトリ内に埋め込まれた指示により、アシスタントが本来のタスクの範囲を逸脱させられるとされています。その結果、被害者が連携した GitHub アカウントからアクセス可能な、別のプライベートリポジトリに対して操作を実行してしまうといいます。
Tripathy 氏は、リポジトリへのアクセス権を共有していない、研究者自身の2つのアカウントを使って検証を行ったと説明しています。攻撃者側のアカウントが公開リポジトリを用意し、被害者側のアカウントがすべてのリポジトリに対してコネクターを許可しました。
開示内容によれば、アシスタントは被害者の権限を使い、無関係なプライベートリポジトリに GitHub Actions のワークフローをコミットしました。
このコミットにより、GitHub Actions が自動的に起動しました。ワークフローは、情報窃取のロジックを含む外部のカスタムアクションを参照していました。このアクションが、意図的に仕込まれた AUDIT_CANARY という名前のリポジトリシークレットにアクセスし、研究者の管理するサーバーへ送信しました。
研究者は、GitHub のランナー基盤からダミー値が届いたことを示す Webhook の受信記録を3件確認したと報告しています。ユーザーはリポジトリをまたぐ変更を依頼しておらず、ワークフローも承認していないと同氏は述べています。
開示では、このほかにもリポジトリの列挙、攻撃者が作成したコンテンツのプライベートリポジトリへのコピー、セッション情報の攻撃者がアクセス可能な場所へのコミットが確認されたとしています。さらに Tripathy 氏は、アシスタントが削除済みのペイロードを Git 履歴から復元し、ワークフローを再度コミットしたとも報告しています。
これらの観測結果は、信頼境界の失敗を示唆しています。本来は信頼できないタスクデータとして扱われるべきリポジトリ内のテキストが、特権を持つコネクターの操作に影響を及ぼしたとされるためです。主張されているシークレットの窃取は、GitHub の秘匿されたシークレット値を直接取得したのではなく、ワークフローの実行を通じて行われました。
Tripathy 氏によると、ガードレールは直接的な要求はブロックしたものの、デプロイ監査の要件への対応という名目で同等の指示を示すと、これを防げませんでした。同氏は、悪意のある動作がワークフロー内に直接現れず、外部アクションの内部に置かれていたことも、回避できた一因だと見ています。
提供されたタイムラインによると、Tripathy 氏は9月4日に最初の報告を提出し、9月28日にシークレットの窃取を実証しました。同氏は、10月14日に報告が対象外としてクローズされ、翌日に公開に踏み切ったと述べています。
提供された資料には、脆弱性の存在、深刻度、修正状況を裏付けるOpenAI の見解は含まれていません。
対照テストでは、コネクターのアクセスを1つのリポジトリに制限すると、リポジトリをまたぐ書き込みが阻止されたと伝えられています。この結果は、アクセス可能なリポジトリを絞ることが有効であることを裏付けています。ただし、あらゆるプロンプトインジェクションの亜種に対する防御が確認されたわけではありません。
研究者は、タスク単位の権限設定、リポジトリをまたぐ変更の前に明示的な確認を求めること、レビューのみのタスク中はワークフローの作成をブロックすることを推奨しています。リポジトリの所有者は、予期しないワークフローのコミットや、関連する Actions の実行履歴を調査することもできます。
16,000以上の SOC チームが ANY.RUN を活用し、脅威調査を効率化して手作業を削減しています。 チームで試してみる
翻訳元: https://cyberpress.org/chatgpt-github-connector-flaw/
