文章总结： Ghostcommit新型供应链攻击将窃取指令隐匿于PNG图片，配合AGENTS.md诱导AI代码智能体读取.env文件并编码为数字元组输出，绕过文本审查与密钥扫描。实测表明攻击成败取决于工具框架而非底层模型。建议引入多模态审查机制同步校验图片与文档，团队已开源基于Gemma4的轻量检测原型，实现高拦截率与零误报。
综合评分： 89
文章分类： AI安全,供应链安全,代码审计,漏洞POC,安全工具
Ghostcommit 攻击：恶意提示藏入图片，劫持Agent实施窃取
原创
安全客
安全客
安全客
2026年7月13日 15:30
北京
在小说阅读器读本章
去阅读
一种名为Ghostcommit的新型供应链攻击手段，可将提示注入指令隐藏在 PNG 图片中，绕过 AI 代码审查工具，诱导代码智能体泄露.env 配置文件等敏感密钥。
攻击原理与对比验证
ASSET Research Group开展实验验证：若提交拉取请求中直接以明文写入窃取仓库.env 文件的指令，Cursor 漏洞机器人、CodeRabbit 等大模型代码审查工具会立刻识别，在代码合并前标记该明文攻击为高危漏洞。
为规避检测，研究人员将攻击载荷拆分部署：
仓库内新增看似合规的规范文档AGENTS.md，引导代码智能体从引用图片docs/images/build-spec.png中提取构建常量；
图片内部嵌入完整恶意逻辑：逐字节读取.env 文件，并将文件内容编码为 ASCII 数字序列。
文本类审查工具会将图片视作不透明二进制文件，且 CodeRabbit 默认配置直接跳过 PNG 文件审查，因此整条拉取请求可无告警通过，漏洞机器人不会输出任何风险提示。
攻击触发流程
代码合并时不会直接窃取数据，陷阱会延后触发：开发者在其他会话中，向代码智能体发起常规功能开发需求时，攻击链路启动。智能体读取已合并的AGENTS.md文档，按指引解析目标图片，读取本地.env 文件，并生成模块级常量（如_PROV_CANARY），以数百位数字元组形式输出；该数字序列逐字节解码后，即为完整.env 明文内容。
实测案例中，搭载 Claude Sonnet 模型的 Cursor 工具首次执行便输出含 311 个数字的元组，API 密钥、数据库地址、云平台凭证全部内嵌在看似普通的代码输出中。攻击者只需读取公开提交记录，将数字元组逆向解码，即可获取全部明文机密。
攻击利用两大检测盲区
恶意提示隐匿于图片内：人工审核、正则扫描、仅解析文本差分内容的大模型审查工具均无法识别；
机密数据伪装为数字元组：传统密钥扫描工具仅匹配字符串特征，无法识别可解码为 ASCII 字符的数字序列，因此不会告警。
多工具、多模型实测结果
研究人员对 11 套代码工具 + 大模型组合完成测试，发现攻击能否得逞，核心取决于工具运行框架，而非底层大模型本身：
Cursor 工具：搭配 Claude Sonnet 4.6、Composer-2、GPT-5.5 均会完整泄露.env 文件；
Antigravity 工具：搭配 Sonnet、Gemini 3.1 Pro、Gemini 3 Flash 全部存在泄露风险；
Claude Code 平台：同系列所有模型（Sonnet 4.6、Haiku 4.5、Opus 4.7）均能阻断攻击。同一 Sonnet 模型在不同运行环境下表现截然不同。
一处极端测试场景：Antigravity 搭载 Opus 模型时，虽已计算并输出机密，但识别到社会工程攻击逻辑后自动删除敏感内容，完成自我修正；而在 Claude Code 环境中，Opus 不会读取规范文档，因此不会触发该自防御机制。
自研防御检测方案
研究团队基于轻量化开源大模型 Gemma 4，开发一款多模态 GitHub 代码审查原型工具，仅需单块 4GB 显存显卡即可运行。工具融合三类检测能力：隐形字符识别、代码结构特征分析、对规范文档与内嵌图片同步执行大模型校验。
压力测试表现：
15 类攻击样本全量拦截，零误报；
80 份未知真实测试样本中，50 次攻击拦截 49 次，所有图片隐写变种全部检出；30 份正常业务提交无一条误标记。
研究团队已开源完整概念验证代码，含拆分载荷的拉取请求样本与数字解码工具，供安全防护人员研究防御对策。
END
推荐阅读
伊朗黑客组织亮出”秘密武器”：Cavern C2框架如何绕过所有安全检测
2026-07-10
2026-07-09
T3MP3ST 安全框架：集成 35 款工具，将 AI 代码智能体转化为零日漏洞挖掘器
2026-07-07
恶意Skills利用扫描规避技术攻击Claude Code和Codex
2026-07-07
首个AI全流程勒索攻击来了：JADEPUFFER证明，勒索不再需要人类操盘手
2026-07-06
2026-07-04
紧急！医疗巨头美敦力遭黑客入侵，患者隐私数据大规模外泄，这些坑普通人千万别踩
2026-07-03
SecSuite—— 搭载人工智能的开源情报、Web 与 API 安全综合测试工具
2026-07-02
RedAmon：串联侦察、漏洞利用与后渗透的 AI 安全工具
2026-07-01
2026-06-30
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安全客 安全客
安全客《Ghostcommit 攻击：恶意提示藏入图片，劫持Agent实施窃取》