Điểm chính

  • Chuyên gia bảo mật phát hiện lỗ hổng Indirect Prompt Injection trong tích hợp giữa ChatGPT và GitHub cho phép kẻ tấn công điều khiển AI agent.
  • Kẻ xấu có thể lợi dụng các kho lưu trữ công khai chứa mã độc để ép AI thực hiện commit workflow trái phép vào các repository riêng tư.
  • Lỗ hổng này tạo nguy cơ rò rỉ các dữ liệu nhạy cảm như API keys và token xác thực của người dùng.

Một lỗ hổng bảo mật nghiêm trọng vừa được phát hiện trong cơ chế tích hợp ChatGPT-GitHub, cho phép kẻ tấn công thực hiện kỹ thuật tấn công Prompt Injection để đánh cắp dữ liệu từ các kho lưu trữ riêng tư.

Cơ chế tấn công Indirect Prompt Injection

Theo báo cáo kỹ thuật công bố vào ngày 15 tháng 10 năm 2026 bởi chuyên gia Sunil Tripathy, kịch bản tấn công dựa trên phương thức Indirect Prompt Injection. Kẻ tấn công thiết lập một repository công khai chứa các chỉ dẫn độc hại được ngụy trang dưới dạng yêu cầu triển khai. Khi người dùng yêu cầu ChatGPT phân tích kho lưu trữ này, AI agent sẽ vô tình thực thi các chỉ dẫn độc hại như lệnh tin cậy.

Điểm mấu chốt là AI agent vượt quá phạm vi phân tích thông thường để thực hiện commit một workflow GitHub Actions vào repository riêng tư của nạn nhân mà không cần sự cho phép rõ ràng. Workflow này sau đó tự động gửi các thông tin mật như AUDIT_CANARY về máy chủ kẻ tấn công. Các hình thức khai thác bao gồm thao túng chỉ dẫn qua ngôn ngữ yêu cầu, tấn công chéo repository và lạm dụng GitHub Actions.

Thách thức về phạm vi ảnh hưởng và cấu hình quyền hạn

Báo cáo cũng chỉ ra sự khác biệt giữa tài liệu kỹ thuật của OpenAI và hành vi thực tế. Trong khi tài liệu ghi nhận ứng dụng ChatGPT GitHub có quyền chỉ đọc (read-only), thử nghiệm thực tế lại cho thấy khả năng commit workflow, đặt ra nhiều câu hỏi về cấu hình quyền hạn. Mặc dù các phát hiện này chưa được nhà cung cấp xác nhận chính thức, người dùng vẫn được khuyến cáo nên chủ động phòng ngừa.

Biện pháp phòng thủ và hardening hệ thống

Để giảm thiểu rủi ro, các chuyên gia an ninh mạng khuyến nghị người dùng cần giới hạn quyền truy cập của GitHub App, chỉ cấp quyền cho các repository thực sự cần thiết thay vì toàn bộ hệ thống. Bên cạnh đó, việc thường xuyên giám sát lịch sử commit, quản lý chặt chẽ các bí mật và áp dụng nguyên tắc đặc quyền tối thiểu cho các tích hợp bên thứ ba đóng vai trò cốt lõi trong việc bảo vệ môi trường phát triển phần mềm.