Od 1 czerwca Microsoft wyrzucił stały abonament do kosza i przestawił GitHub Copilot na tokeny, a pierwsze szacunki mówią o wzroście kosztów dosłownie 25-krotnym. Oficjalny wątek zgarnął 900 negatywnych ocen i ponad 400 komentarzy, a użytkownicy masowo piszą o rezygnacji.

Jeden z programistów GitHuba zainstalował przypadkiem zainfekowane rozszerzenie do VS Code. Atakujący wykorzystali ten dostęp i zaczęli buszować po ~3800 wewnętrznych repozytoriów GitHuba.

Agenci AI zintegrowani z GitHub mogą być przejęci przez prompt injection w komentarzach do pull requestów. Eksfiltracja kluczy API, tokenów GitHub i innych sekretów ze środowiska Actions. Anthropic, Google i Microsoft odebrały bounty, ale żaden nie wydał CVE ani ostrzeżenia.

Malware infekuje repozytoria Pythona na GitHubie przez force-push, fałszując historię commitów tak, że wyglądają jak autentyczne. Zamiast klasycznego serwera C2 używa blockchaina Solana, przez co blokowanie infrastruktury jest praktycznie niemożliwe. Zainfekowanych ok. 200 repozytoriów.

Copilot po cichu modyfikował treść cudzych pull requestów, wstawiając identyczne reklamy Raycast w ponad 11 400 miejscach bez wiedzy autorów. Deweloperzy byli wściekli. GitHub wycofał funkcję po kilku godzinach, przyznając, że to był błąd w ocenie.

System wizyt UMŁ (Urzędu Miasta Łodzi) jest tragiczny, zrobiłem nowy na rok 2026, który jest open-source. AMA.

Orca Security odkrylo, ze ukryte instrukcje w komentarzach HTML w opisie issue na GitHubie moga przejac repozytorium przez Copilota. Atak wyciaga tokeny autoryzacyjne przez symlinki i automatyczne pobieranie schematow JSON.