O Ghostcommit é uma demonstração de conceito que mostra como assistentes de IA usados para revisar código de software podem ser enganados por instruções ocultas incorporadas em imagens.
O Grupo de Pesquisa Acadêmico ASSET mostrou que um invasor pode inserir instruções dentro de um arquivo de imagem e referenciá-lo em um AGENTS.md arquivo e fazer com que um agente de programação baseado em IA siga essas instruções durante uma tarefa posterior.
Uma solicitação de pull é, basicamente, um pedido formal do tipo “por favor, revise e incorpore minhas alterações” que um desenvolvedor envia antes que as alterações sejam incorporadas à versão principal de um projeto de software. Revisores humanos e, cada vez mais, ferramentas de codificação baseadas em IA podem revisar as alterações antes que elas sejam aceitas.
Embora a revisão de código assistida por IA esteja se tornando parte do dia a dia do desenvolvimento, o Ghostcommit revela uma vulnerabilidade que muitas equipes ainda não levaram em consideração. Um revisor humano pode ler o código e ignorar uma imagem anexada. Na prova de conceito dos pesquisadores, as instruções maliciosas estavam ocultas dentro de um arquivo PNG referenciado pelos arquivos de política do repositório, enquanto a solicitação de pull visível parecia normal.
Conforme demonstraram os pesquisadores, isso pode transformar os fluxos de trabalho rotineiros dos desenvolvedores em um canal para o roubo de segredos. Um agente de programação baseado em IA lê essas instruções ocultas, mesmo que seja improvável que um revisor humano examine a imagem.
O ataque é simples em teoria, mas perigoso na prática. Uma solicitação de pull introduz uma imagem que parece inofensiva e um arquivo de configuração que instrui o agente a confiar nela. Quando, posteriormente, o agente executa uma tarefa normal, ele segue as instruções ocultas, lê arquivos confidenciais e reinsere os segredos no código de forma ofuscada. Isso cria uma brecha para o roubo de segredos que pode passar despercebida tanto pelos revisores humanos quanto pelos scanners automatizados.
Os pesquisadores descobriram que o “harness” — a camada que envolve o modelo de IA — teve um impacto maior sobre o vazamento de segredos do que o próprio modelo subjacente. Na prática, o “harness” (Cursor, Antigravity, Claude Code) decide quais arquivos carregar, em quais convenções confiar, quais limites de segurança aplicar e se deve seguir instruções ocultas em uma imagem. Como resultado, o mesmo modelo pode se comportar de maneira muito diferente, dependendo da ferramenta de codificação que o utiliza. O modelo, então, executa qualquer tarefa que a ferramenta lhe apresente.
Por exemplo, o mesmo modelo (Claude Sonnet) se comportou de maneira muito diferente em ferramentas distintas. No Cursor e no Antigravity, o Sonnet leu o arquivo PNG, seguiu a convenção e registrou obedientemente os segredos no código-fonte. Mas, no ambiente Claude Code da Anthropic, o mesmo modelo Sonnet leu a mesma convenção e se recusou, afirmando explicitamente que a exfiltração de segredos era inadequada. O Claude Code se recusou em todos os modelos que os pesquisadores testaram.
Como se manter seguro
A lição é que a injeção de prompts não é mais apenas um problema de texto. Entradas multimodais, como imagens, também podem conter instruções que agentes de IA podem obedecer, caso o conjunto de ferramentas permita. Teams Deve-se partir do princípio de que tudo o que um agente de codificação possa ler — incluindo imagens, documentos e outras entradas multimodais — pode conter conteúdo controlado pelo atacante.
As organizações que utilizam ferramentas de programação de IA devem tratar isso tanto como uma questão de segurança da cadeia de suprimentos de software quanto como uma questão de segurança dos agentes de IA. As medidas de defesa mais importantes consistem em restringir o acesso a informações confidenciais, inspecionar anexos que não sejam de texto e monitorar os agentes de IA em busca de tentativas incomuns de ler credenciais ou arquivos de configuração.
A pesquisa também destaca que a ferramenta de codificação e suas permissões são, em última análise, o que torna esse ataque possível, e não o modelo de IA isoladamente.
Desde a denúncia de ameaças até a sua remoção.
Os riscos de cibersegurança nunca devem ir além das manchetes. Mantenha as ameaças longe dos seus dispositivos baixando Malwarebytes hoje mesmo .
