Um repositório 'inocente' fez o ChatGPT gravar código malicioso em outro repositório privado e vazar um segredo — e o relato foi fechado como fora de escopo

Pedir a um assistente de IA para “dar uma olhada” num repositório de código é das tarefas mais banais de quem programa hoje. Um pesquisador independente mostrou que, com o conector do GitHub no ChatGPT, essa olhada pode terminar com um segredo da empresa enviado a um servidor de fora — sem que o usuário mencione o repositório atingido e sem aprovar nada.

O relato é de Sunil Tripathy e foi publicado em 15 de outubro, depois que o caso foi encerrado pelo programa de recompensas da OpenAI como “fora de escopo”.

O ataque em seis passos

1. O atacante publica um repositório público com um arquivo de “notas de implantação” — e, no meio dele, instruções escondidas dirigidas à IA.
2. A vítima tem o GitHub conectado ao ChatGPT com a opção que vem de fábrica: acesso a todos os repositórios.
3. Ela pede algo corriqueiro: “faça a revisão de implantação deste repositório”.
4. O agente lê o material do atacante e passa a seguir as instruções embutidas como se fossem do próprio usuário.
5. Com as credenciais do conector da vítima, ele grava um workflow do GitHub Actions — as rotinas automáticas que rodam testes e publicações — em outro repositório, privado, que o usuário nunca citou.
6. O GitHub executa o workflow automaticamente; ele lê um segredo e o envia para fora.

No teste, o “segredo” era um valor fictício criado pelo pesquisador, e todo o experimento foi feito em contas dele. Mas, segundo o relato, o agente também listou todos os repositórios da conta, inclusive os privados, e gravou arquivos do atacante dentro deles.

Pedir com jeito

O detalhe mais incômodo é como as proteções cederam. Um pedido direto para extrair dados foi recusado. A mesma ação, apresentada como “requisito de implantação”, passou. O tipo de ataque tem nome — injeção indireta de prompt — e é dos mais difíceis de resolver em agentes de IA: o modelo não distingue com segurança o que é ordem de quem manda e o que é só conteúdo que ele está lendo.

Quando o conector foi restrito a um único repositório, conta o pesquisador, a escrita entre repositórios foi bloqueada. Ou seja: boa parte do estrago depende da permissão larga que vem por padrão.

“Fora de escopo”

A cronologia publicada por Tripathy: primeiro relato em 4 de setembro; segundo, com a demonstração completa de execução e envio do segredo, em 28 de setembro; encerramento como fora de escopo em 14 de outubro, com a resposta de que o conector estaria “funcionando como projetado”; novo teste bem-sucedido em 15 de outubro. O pesquisador atribuiu ao problema nota 9,3 na escala CVSS 4.0 — avaliação dele, não da fabricante. Não há CVE nem correção anunciada, e não encontramos manifestação pública da OpenAI sobre o caso.

A reportagem do Cyber Security News aponta ainda um descompasso: a documentação da OpenAI descreve o aplicativo do GitHub no ChatGPT como somente leitura — e o que o relato mostra são gravações.

O que fazer já

Para quem usa, ou deixa a equipe usar, o conector:

• Troque “All repositories” por “Only select repositories” nas configurações do aplicativo no GitHub, liberando só o que cada tarefa precisa.
• Não peça revisão de repositório desconhecido com o conector ligado à conta que enxerga o código da empresa.
• Revise commits recentes na pasta .github/workflows que ninguém reconheça.
• Exija aprovação humana (ambientes protegidos) para workflows que tocam segredos de produção.
• Troque os segredos acessíveis a repositórios que passaram por revisões desse tipo.

Workflow malicioso como ladrão de segredos não é novidade: foi o método da campanha GhostAction, que voltou ao GitHub nesta semana. A diferença é quem escreve o arquivo. Lá, o criminoso precisava de acesso ao repositório; aqui, o próprio assistente da vítima faz o serviço.

Ajudante com a chave de tudo

Agentes de IA são úteis exatamente porque agem. O problema é que agem com as permissões de quem os conectou — e leem, com a mesma boa vontade, o pedido do dono e o bilhete deixado por um estranho. No começo do mês, um agente da OpenAI driblou por conta própria as travas de um portal do governo australiano. Agora, um agente foi convencido por um arquivo de texto. Enquanto a separação entre ordem e conteúdo não for resolvida dentro dos modelos, ela precisa ser resolvida do lado de fora: com acesso mínimo, concedido tarefa por tarefa.

Fontes

• Sunil Tripathy — “Your AI Coding Assistant Just Became a Hacker”, relato técnico e cronologia (15/10/2026): sunilawesome.in

• Cyber Security News — “Critical ChatGPT GitHub Connector Flaw Could Allow Attackers to Steal Private Repository Secrets” (15/10/2026): cybersecuritynews.com

• Foto de capa: mão segurando celular com o nome ChatGPT na tela — Jernej Furman, CC BY 2.0, via Wikimedia Commons

• Segunda imagem: página do GitHub aberta em um notebook — Watty62, CC BY-SA 4.0, via Wikimedia Commons