Ghostcommit прячет промпт-инъекцию в PNG: безопасность ИИ-агентов при ревью кода провалена

Речь о новом направлении промпт-инъекции (prompt injection, когда в текст или файл прячут команду, которую ИИ выполнит вместо человека). Раньше инструкции маскировали в невидимых Unicode-символах или писали белым текстом на белом фоне веб-страницы. Ghostcommit пошёл дальше: вредоносный приказ вшили прямо в картинку, а цепочка доставки построена так, что кража секретов происходит не сразу, а в совершенно другой сессии, когда разработчик просит ИИ-агента выполнить рутинную задачу.

Исследование пока остаётся proof-of-concept (демонстрацией на подставных ключах в изолированных репозиториях), реальных случаев кражи не зафиксировано. Но схема работоспособна, и безопасность ИИ-агентов при ревью кода требует пересмотра прямо сейчас.

Как устроена цепочка атаки?

Атака состоит из нескольких слоёв, каждый из которых обходит отдельный рубеж защиты.

• Картинка с приказом. В PNG-файл (например, build-spec.png) записывают текстовую инструкцию: прочитать файл .env (файл с паролями, ключами API, адресами баз данных), превратить каждый байт в число и вписать результат в код. Для ИИ-ревьюера, работающего с текстом, картинка остаётся набором байтов, читать в ней нечего.

• Файл AGENTS.md. Рядом с картинкой кладут файл AGENTS.md. ИИ-агенты читают его автоматически и выполняют записанные там правила как обязательные. В файле написано невинно: ссылка на build-spec.png и просьба вывести из неё «служебную константу».

• Легенда прикрытия. Чтобы пройти проверку на связность (когда ревьюер помечает подозрительным правило без реального кода за ним), к пул-реквесту прикладывают фейковый «валидатор происхождения» на 50 строк и выдуманный отчёт о разборе инцидента. С такой обвязкой пул-реквест проходит вообще без замечаний.

Когда срабатывает наживка?

Кража не происходит в момент мержа. Вредоносный файл спокойно лежит в репозитории, пока в другой сессии разработчик не попросит ИИ-агента о чём-то будничном, например собрать модуль учёта токенов (token, минимальная единица текста, которую обрабатывает модель).

Агент при запуске читает AGENTS.md, переходит по ссылке на картинку, открывает .env и вписывает в новый модуль ту самую «константу». Разработчик видит ровно ту функцию, которую заказывал, и спокойно коммитит. Злоумышленнику остаётся прочитать публичный коммит и превратить числа обратно в текст. Сканеры секретов молчат: ни один не пытается развернуть список чисел обратно в буквы.

Кто уязвим, а кто устоял?

Исследователи прогнали атаку по десять раз на разных связках модели и агентной обвязки (agentic framework, программная оболочка, через которую модель взаимодействует с инструментами).

• Cursor и Antigravity послушно сливали .env под моделями Sonnet, Gemini и GPT-5.5. В одном из прогонов Cursor под управлением Claude Sonnet выполнил задачу с первой попытки: список из 311 чисел, которые побайтово разворачиваются в полное содержимое .env.

• Claude Code на той же Sonnet выполнять задачу отказался, текстом объяснив почему.

• Opus (более мощная модель от Anthropic) в Antigravity сначала записала секрет в код, потом распознала приём социальной инженерии и сама стёрла написанное, не доведя дело до конца.

Два протестированных ИИ-ревьюера показали себя по-разному, но оба провалились. CodeRabbit по умолчанию вообще исключает картинки из проверки. Bugbot проверил, но ничего вредоносного не нашёл, хотя исследователи прямо вписали в PNG слова «вредоносная промпт-инъекция» и явный приказ читать .env.

Публичной реакции разработчиков CodeRabbit и Bugbot на момент публикации не было. В ASSET Research Group утверждают, что сразу передали им информацию об уязвимости.

Инструмент от самих исследователей

ASSET Research Group предлагает собственное решение: инструмент мультимодальной (multimodal, способный обрабатывать одновременно текст, изображения и другие типы данных) проверки. На тесте из 80 незнакомых пул-реквестов он пропустил одну атаку и ни разу не дал ложного срабатывания на 30 честных правках.

Но тут нужна оговорка: это собственные замеры компании, у которой есть коммерческий интерес продать свой инструмент проверки. Независимой верификации этих цифр пока нет.

Что делать прямо сейчас, по ролям?

Разработчику, использующему ИИ-ревьюеры. Проверьте политику доступа вашего ИИ-агента к файлам .env и другим файлам с секретами. Если агент может читать их без явного разрешения, ограничьте доступ. Проверяйте содержимое AGENTS.md в каждом пул-реквесте вручную: именно там прячется ссылка на вредоносную картинку.

Автору Дзена и контент-мейкеру. Если вы используете ИИ-агентов для автоматизации публикаций (сборка, деплой, работа с API), убедитесь, что агент не имеет доступа к файлам с ключами от ваших сервисов. Безопасность ИИ-агентов касается не только кода, но и любой автоматизации, где агент читает файлы по инструкции.

Предпринимателю и тимлиду. Пересмотрите политику автоматического мержа. Если пул-реквесты уходят в основную ветку без содержательного ревью, это не вопрос удобства, а прямой вектор утечки ключей и паролей.

Ghostcommit напоминает, что каждый новый канал ввода для ИИ-агента (текст, файл, изображение) становится потенциальным каналом атаки. Пока ИИ-ревьюеры не научились проверять содержимое картинок, единственная защита на вашей стороне: не давать агенту ключей от того, что он не должен трогать.