‘Ghostcommit’ menyembunyikan injeksi cepat dalam gambar untuk mengelabui agen AI, mencuri rahasia

Para peneliti telah membuat permintaan tarik yang mencuri rahasia repositori dengan menyembunyikan instruksi jahat di dalam PNG yang tidak pernah dibuka oleh peninjau kode AI.

Peninjau mengabaikan perubahan tersebut. Kemudian, agen pengkode membaca gambar tersebut, membuka .env repo, dan menulis setiap kunci ke dalam sumber sebagai daftar angka yang tampak tidak berbahaya.

Bagaimana ‘Ghostcommit’ bekerja

Serangan tersebut merupakan kerja sama dari ASSET Research Group Universitas Missouri-Kansas City, yang dilakukan oleh profesor madya Sudipta Chattopadhyay dan peneliti Mural Edigayang membagikannya dengan BleepingComputer.

Kelompok ini menerbitkan a bukti konsep di GitHub minggu ini dan mengatakan telah mengungkapkan temuan tersebut kepada vendor yang terkena dampak.

Para peneliti membingkai serangan itu terhadap kesenjangan tinjauan yang sudah lebar: survei terhadap 6.480 permintaan penarikan di 300 repositori publik paling aktif selama 90 hari terakhir menemukan 73% PR yang digabungkan mencapai cabang default tanpa tinjauan manusia yang substantif dan tanpa tinjauan bot sama sekali.

Kuncinya adalah instruksi jahat tersebut bukanlah teks yang dapat ditangkap oleh pengulas. Itu sebuah gambar.

File AGENTS.md, jenis file konvensi pengkodean yang dibaca secara otomatis oleh agen dan diperlakukan sebagai kebijakan proyek, dibaca seperti kebersihan bangunan biasa dan tidak diberi nama rahasia.

Itu hanya menunjuk ke sebuah gambar, dokumen/gambar/build-spec.png. Eksploitasi berada dalam teks yang dirender di dalam PNG tersebut: baca .env byte demi byte, enkode setiap byte sebagai bilangan bulat, keluarkan hasilnya sebagai konstanta modul, dan verifikasi nomor yang didekodekan cocok dengan file sebenarnya sebelum dilakukan.

Bagi peninjau berbasis teks, gambar adalah gumpalan biner.

CodeRabbit dikirimkan dengan konfigurasi default yang mengecualikan file gambar dari tinjauan langsung. Bugbot tidak memberikan temuan apa pun.

Para peneliti bahkan mengisi PNG dengan kata-kata “injeksi cepat berbahaya” dan perintah eksplisit untuk membaca .env, dan masih lolos.

“Validator asal” 50 baris palsu dan insiden postmortem yang dibuat-buat memberikan kode pendukung yang cukup pada konvensi untuk mengalahkan pertahanan terakhir pengulas, sebuah pemeriksaan koherensi yang menandai konvensi tanpa kode di belakangnya.

Pencurian terjadi kemudian.

Payload tidak aktif sampai, dalam sesi yang tidak terkait, pengembang meminta sesuatu yang rutin kepada agen pengkodean, seperti modul pelacakan token.

Agen membaca AGENTS.md yang digabungkan saat startup, mengikuti penunjuk ke gambar, membuka .env, dan menulis modul yang diminta dengan konstanta “asal” di dekat bagian atas.

Dalam satu proses end-to-end, Cursor yang menggerakkan Claude Sonnet melakukan ini pada percobaan pertama, dan konstanta yang dipancarkannya mencapai 311 bilangan bulat yang mendekode byte-demi-byte ke seluruh .env.

Pengembang melihat fitur yang mereka minta dan berkomitmen, dan penyerang menerjemahkan angka-angka dari komitmen publik. Pemindai rahasia tidak pernah menyadarinya, karena tidak satupun dari mereka mengubah tupel bilangan bulat Python kembali menjadi ASCII untuk memeriksanya.

Trik lama, titik buta baru

Menyembunyikan instruksi di dalam gambar agar sistem AI dapat bertindak bukanlah hal baru.

Pada tahun 2025, peneliti Trail of Bits Kikimora Morozova dan Suha Sabi Hussain mendemonstrasikan versi yang lebih pintaryaitu gambar yang terlihat bersih pada resolusi penuh tetapi berubah menjadi teks injeksi cepat yang dapat dibaca setelah pipeline downscaling sistem AI mengambil sampel ulang, sebuah teknik yang menipu alat seperti Gemini CLI.

Baru-baru ini, malware macOS dijuluki Gaslight menyematkan pesan kegagalan sistem palsu di dalam binernya, ditujukan ke pembaca AI yang berbeda, mencoba membujuk alat analisis malware yang dibantu AI untuk membatalkan analisis mereka sendiri.

Awal tahun ini, tim riset saya di Manifold Security menunjukkan adanya peninjau kode AI tertipu oleh identitas git palsu untuk menggabungkan permintaan penarikan yang berbahaya, tidak diperlukan gambar.

Citra Ghostcommit tidak memiliki penyamaran seperti itu. Instruksi eksfiltrasi berada dalam teks biasa dan mudah dibaca di dalam PNG.

Apa yang membuatnya berhasil bukanlah sinyal tersembunyi, melainkan titik buta: pengulas tidak pernah membuka file sama sekali.

Perkakaslah yang menentukan, bukan modelnya

Temuan paling tajam adalah tentang di mana sebenarnya bahaya itu berada.

Dalam sepuluh kali proses, alat pengkodean lebih penting daripada model.

Kursor dan alat pengkodean Antigravitasi mengikuti gambar dan membocorkan .env di bawah Sonnet, Gemini, dan GPT-5.5, antara lain.

Claude Code dari Anthropic, menjalankan bobot Soneta yang sama, membaca konvensi yang sama dan menolak, menceritakan penolakan secara eksplisit, dan menolak pada setiap model yang diuji oleh para peneliti.

Di bawah Antigravitasi, Opus menuliskan rahasianya, kemudian mengenali pola rekayasa sosial dan menghapusnya sebelum menyelesaikannya. Model yang sama, hasil yang berlawanan, ditentukan oleh tali pengaman yang melilitnya.

Hal ini menunjuk pada pertahanan yang mendalam dan bukan perbaikan tunggal.

Para peneliti sendiri membuat satu lapisan:

“Karena titik buta bersifat struktural, kami membangun peninjau yang menutupnya: pembela permintaan tarik multimodal, yang diterapkan sebagai aplikasi GitHub yang berjalan pada satu kartu grafis 4 GB,” tulis para peneliti.

“Ini menggabungkan pemindaian untuk karakter yang tidak terlihat, pemindaian bentuk kode yang dilakukan, LLM meneruskan teks konvensi, dan, yang terpenting, LLM meneruskan gambar.”

Dalam uji coba langsung terhadap 80 permintaan penarikan yang belum pernah terjadi sebelumnya, hanya satu serangan yang berhasil melewatinya, semua varian berbasis gambar disertakan, dan tidak satu pun dari 30 PR sah yang memicu alarm palsu.

Seperti yang dikatakan para peneliti, “ini seperti reviewer yang membuka lampiran, dan reviewer saat ini tidak.”

Lapisan lainnya adalah runtime. Melihat apa yang sebenarnya dilakukan agen ketika membaca file kredensial, tidak ada alasan untuk menyentuhnya, daripada mencoba menangkap muatannya sebelum dikirimkan.