Wiz Research prati kampanju pod nazivom Gheist koja od 15. rujna 2026. masovno zloupotrebljava ukradene GitHub tokene. Napadač u svakom repozitoriju kojemu token ima pristup dodaje radni tok pod nazivom sync-check koji ispisuje tajne repozitorija u zapis radnog toka.
Zapis se preuzima putem GitHub API-ja, a radni tok se nekoliko sekundi kasnije briše; zahtjevi API-ja nose korisnički agent „gheist“. Do sada je otkriveno više od 13 500 takvih grananja u više od 850 kompromitiranih računa, uključujući osobne projekte i privatne repozitorije poduzeća.
GitHub je nedavno uveo kontrolu koja blokira ovu eksploataciju u javnim repozitorijima, no napadi i dalje uspijevaju u privatnim i Enterprise okruženjima. Otprilike dvije trećine zahvaćenih računa više nije dostupno na GitHubu, što ukazuje na reakciju nakon što je aktivnost prijavljena GitHubu.
