Repository cá nhân có thể chứa secrets và mã liên quan đến công việc nhưng nằm ngoài kiểm soát repository tổ chức. Rủi ro không được giải quyết bằng giả định rằng mọi repo cá nhân đều vô hại.

Một chiến dịch đa tổ chức được Wiz CIRT dùng làm cơ sở cho playbook điều tra GitHub PAT compromise. Phản ứng hiệu quả phải liên kết token với identity, repository, hoạt động API và quyền downstream.