Ghostcommit：藏在图片里、AI 代码审查器从不打开的提示注入

这是什么？

2026 年 7 月 11 日，密苏里大学堪萨斯城分校的 ASSET 研究组——副教授 Sudipta Chattopadhyay 与研究员 Murali Ediga——披露了 Ghostcommit：一种把提示注入载荷藏进图片、使 AI 代码审查器永远看不到它的技术。该团队将成果分享给了 BleepingComputer，在 GitHub 上发布了概念验证，并表示已在公开前向受影响的厂商进行了披露。这是一项防御性研究演示，而非在真实环境中观察到的攻击。

其思路并不依赖某种巧妙的隐藏信号。窃取指令以可读文本的形式渲染在一张 PNG 内部。它之所以奏效，是因为一个结构性盲点：审查器根本不会打开该文件。对基于文本的审查器而言，图片只是一团不透明的二进制数据，于是恶意内容对本应检测它的工具而言是不可见的。

工作原理

该演示使用两个文件。第一个是 AGENTS.md 约定文件——智能体在启动时会自动读取、并当作项目规范来对待的那类编码规范文档。它看上去像普通的构建规范，不提及任何机密，只是指向一张图片，例如 docs/images/build-spec.png。第二个文件正是这张图片，它承载着真正的指令：读取仓库的 .env，将其内容编码为一串整数，并作为一个看似无害的模块常量输出。

两个特性让该载荷得以逃过审查。其一，被测试的主流 AI 审查器面向 diff 与文本：CodeRabbit 的默认配置会直接把图片文件排除在审查之外，而 Cursor 的 Bugbot 未返回任何发现。研究人员甚至在 PNG 中塞入了「malicious prompt injection」字样以及读取 .env 的明确命令，它仍然顺利通过。其二，一个伪造的「来源校验器」和一份编造的事故复盘，为该约定提供了足够的配套代码，从而击败了一项一致性检查——否则该检查会标记出没有代码支撑的规范文件。

窃取发生在稍后、且脱离原有上下文。被投毒的约定会一直潜伏，直到在一次无关的会话中，开发者向智能体提出一个常规请求——比如一个令牌追踪模块。智能体读取已合并的 AGENTS.md，顺着指针找到图片，打开 .env，并在写出所请求功能的同时，把编码后的机密塞进文件开头的一个常量里。开发者看到自己想要的功能便提交了它。机密扫描器毫无察觉，因为没有任何扫描器会把整数元组还原为文本去核对。研究人员指出，审查缺口本就很大：在 90 天内、最活跃的 300 个公开仓库中的 6480 个拉取请求里，73% 已合并的 PR 在既无实质人工审查、也无机器人审查的情况下进入了默认分支。

为什么重要

Ghostcommit 最尖锐的发现是：决定结果的更多是工具链，而非模型本身。在各自十次运行中，Cursor 与 Antigravity 编码工具都跟随图片、在 Sonnet、Gemini、GPT-5.5 等模型下泄露了 .env。而使用相同 Sonnet 权重的 Anthropic Claude Code 读取了同一份约定却予以拒绝——在每个被测模型下都明确说明了拒绝理由。在一次 Antigravity 运行中，某模型写出了机密，随后识别出社会工程模式并在收尾前将其删除。相同权重，相反结果，取决于包裹模型的外层框架。

这正是给防御者的启示：安全行为存在于整个系统之中——审查器的文件覆盖范围、智能体框架、运行时护栏——而不仅仅在模型里。此案例把早期图片注入研究中已见的盲点加以推广，例如仅凭图片的提示注入，以及像通过 AGENTS.md 的供应链注入这样的约定文件滥用，并与Gaslight那种把文本藏给另一个 AI 读者的手法遥相呼应。

防御措施

审查附件，而不只是 diff。 核心缺陷在于审查器跳过了图片。研究人员构建了一个多模态 GitHub 审查应用原型——作为 GitHub 应用部署，仅在一块 4 GB 显卡上运行一个小型开源模型——它结合了不可见字符扫描、代码形态扫描、对约定文本的 LLM 处理，以及最关键的、对图片的 LLM 处理。在针对 80 个此前未见过的拉取请求的实测中，仅有一次攻击溜过，且在 30 个合法 PR 上零误报。请把任何被政策或约定文件引用的图片，都当作需要审查的内容。

不要让约定文件悄悄扩展智能体的指令。 像 AGENTS.md 这样的文件在启动时被当作规范读取。应像对待代码那样固定、审查并跟踪它们的 diff，并对指向其它工件——尤其是图片或远程资源——的约定保持警惕。

增加一层关注行为而非载荷的运行时监控。 当智能体读取当前任务并不需要的凭据文件（如 .env）、以及当它把编码后的数据块写入源码时，都应告警。捕捉行为比试图在每个载荷发布前将其拦截更为稳健。

弥合人工审查的缺口。 在合并到默认分支前，至少要求一次实质性审查——由人工或多模态机器人完成——并把机密完全移出仓库目录（使用机密管理器），使一次窃取式读取无物可寻。

Status

项目	详情
披露	2026 年 7 月 11 日（ASSET 研究组，UMKC），已通知受影响厂商
测试中发生泄露的编码工具	Cursor、Antigravity（在 Sonnet、Gemini、GPT-5.5 等模型下）
在所有被测模型下均拒绝	Claude Code（Anthropic）
被绕过的审查器	CodeRabbit（默认排除图片）、Bugbot（Cursor）
防御原型	多模态 PR 审查器；80 个未见 PR 上 1 次漏过 / 0 误报