推文

@chenYijl · 2026-10-16 02:29

把 GitHub 接进 ChatGPT 那天，授权页面你认真看了吗？ 10 月 15 日，安全研究员 Sunil Tripathy 公布了一个场景。 攻击者先建一个公开仓库，里面藏着几句伪装成“部署需求”的指令。 然后受害者随手请 ChatGPT 来 review 这个仓库。 AI 读完指令，像接到上级批示一样，掉头在受害者自己的私有仓库里提交了一个 GitHub Actions workflow。 workflow 自动运行，把测试密钥 AUDIT_CANARY 发到了外部服务器。 全程受害者没提过第二个仓库的名字，更没点过任何确认。 研究员自评 CVSS 4.0 9.3 分——当然这只是他的一家之言，厂商还没认。 他还顺手测了下话术：直说“去偷密钥”，AI 当场拒绝；包装成“部署需求”，一路放行。 风控不看内容看格式，这套路听着耳熟吧，跟某些公司的报销审批一个师父教的。 说真的，最冷的一段是时间线。 9 月 4 日上报，9 月 28 日演示偷密钥成功，10 月 14 日官方回复“不在处理范围内”，10 月 15 日攻击依旧有效。 漏洞表示理解：你不修是你的事，我照用是我的事。 更尴尬的是 OpenAI 的官方文档：ChatGPT 的 GitHub 应用明明是只读的，写代码请去 Codex。 可这只 workflow 就这么被提交了。只读这张纸，糊的是谁的眼？ 想保命也简单：把授权范围收紧到单个仓库，研究员亲测跨仓库写入当场被拦。 你授权出去的，本来就是一整串仓库的钥匙。AI 只是比你更敬业地用了它。

曝光 3 · 评论 0 · 点赞 0 · 书签 0