Что такое Ghostcommit?

Ghostcommit — это метод атаки, при котором вредоносные инструкции внедряются в файлы изображений, чтобы обмануть ИИ-системы проверки кода. Такие атаки могут привести к утечке конфиденциальных данных из репозиториев.

Какие ИИ-инструменты уязвимы к Ghostcommit?

В ходе исследования уязвимость была выявлена в таких инструментах, как CodeRabbit и Bugbot. Эти системы не анализируют содержимое графических файлов, что позволяет атакам оставаться незамеченными.

Какие данные могут быть похищены с помощью Ghostcommit?

Атака позволяет извлекать секретные данные из репозиториев, включая содержимое файлов .env, где часто хранятся пароли, токены доступа и другие критически важные параметры.

← Все новости

Безопасность

Новый метод атаки Ghostcommit обманывает ИИ-агентов через изображения

12 июля 2026 г.

Фото: BleepingComputer

Краткий ответ

Новый метод атаки Ghostcommit использует скрытые инъекции в изображениях PNG для обмана ИИ-агентов, проверяющих код.

Исследователи в области кибербезопасности продемонстрировали новый способ атаки на системы искусственного интеллекта, используемые для автоматического анализа кода. Метод, получивший название Ghostcommit, предполагает внедрение вредоносных инструкций в файлы изображений формата PNG, которые затем загружаются в репозитории.

Особенность атаки заключается в том, что популярные ИИ-инструменты, такие как CodeRabbit и Bugbot, не проверяют содержимое графических файлов. Это позволяет злоумышленникам обходить стандартные механизмы защиты и внедрять команды, которые заставляют ИИ-агенты извлекать конфиденциальные данные из репозиториев. В ходе тестирования атака успешно заставила систему прочитать файл .env и преобразовать его содержимое в числовой формат, который затем был добавлен в код.

Эксперты отмечают, что подобные уязвимости представляют серьезную угрозу для компаний, использующих автоматизированные инструменты проверки кода. Особенно уязвимыми оказываются проекты с открытым исходным кодом, где контроль за безопасностью может быть менее строгим. Для защиты от таких атак рекомендуется внедрять дополнительные проверки содержимого всех загружаемых файлов, включая изображения.

Частые вопросы

Что такое Ghostcommit?: Ghostcommit — это метод атаки, при котором вредоносные инструкции внедряются в файлы изображений, чтобы обмануть ИИ-системы проверки кода. Такие атаки могут привести к утечке конфиденциальных данных из репозиториев.
Какие ИИ-инструменты уязвимы к Ghostcommit?: В ходе исследования уязвимость была выявлена в таких инструментах, как CodeRabbit и Bugbot. Эти системы не анализируют содержимое графических файлов, что позволяет атакам оставаться незамеченными.
Какие данные могут быть похищены с помощью Ghostcommit?: Атака позволяет извлекать секретные данные из репозиториев, включая содержимое файлов .env, где часто хранятся пароли, токены доступа и другие критически важные параметры.

Лента для Дзен: /feed/dzen.xml · RSS: /feed.xml