گهیست، یک کمپین خودکار، از توکنهای دزدیده شده گیتهاب برای نصب کاربریهای مخفی در مخازن استفاده میکند. این حمله از ۱۵ سپتامبر ۲۰۲۶ دنبال میشود و بیش از ۱۳۵۰۰ شاخه در ۸۵۰ حساب کاربری دزدیده شده، از جمله مخازن خصوصی سازمانها، نصب شده است. حمله با ایجاد یک شاخه و کاربری به نام sync-check در هر مخزن، مخفیها را در لوگهای کاربری چاپ میکند و سپس آنها را از طریق API گیتهاب دریافت میکند. دو نسخه از این حمله مشاهده شده است که با نامهای مختلف شاخه و تغییرات در کد خود، به روز میشوند. گیتهاب با بهبودهای امنیتی، این حملات را در مخازن عمومی مسدود کرده است، اما در مخازن خصوصی و محیطهای سازمانی همچنان فعال است.