Як Ghostcommit змушує AI зливати ключі доступу через звичайні картинки PNG
Довірили нейромережам писати та перевіряти код, бо шкіряним мішкам ліньки? Вітаємо: дослідники вигадали, як хакнути цих «цифрових програмістів» за допомогою звичайного малюнка. Давайте подивимося на цей черговий тріумф технологічного прогресу.
Дослідницька група ASSET вирішила перевірити, наскільки наївними є наші нові AI-помічники. Вони проаналізували понад шість тисяч пул-реквестів у найактивніших публічних репозиторіях і з'ясували, що сімдесят три відсотки з них зливаються в основну гілку взагалі без жодного контролю з боку людей чи ботів. Мабуть, розробники сподіваються на магію та чесне слово електронного розуму.
Для експлуатації цієї гігантської діри розробники створили атаку під назвою Ghostcommit, яка ховає шкідливі промпт-ін'єкції всередині зображень PNG. Зазвичай AI-агенти зчитують правила оформлення коду з файлів інструкцій. Дослідники просто додали туди посилання на картинку, яка ззовні виглядає як звичайна і невинна схема збірки проекту.
Текстові сканери безпеки на кшталт CodeRabbit чи Bugbot сприймають зображення як звичайний бінарний об'єкт і просто проходять повз. Проте мультимодальна AI-модель відкриває його, зчитує приховану інструкцію, побайтово кодує вміст секретного файлу `.env` у вигляді масиву цілих чисел і записує його прямо в код під виглядом невинної константи. Це як вкрасти гаманець і замість готівки залишити записку з шифром, який розшифрує лише твій спільник.
Під час тестів популярний редактор Cursor із моделлю Claude Sonnet повівся на це з першої спроби, згенерувавши константу з 311 чисел, які легко декодуються назад у паролі. Жоден автоматичний сканер не помітив загрози, бо вони банально не вміють переводити кортежі чисел назад у текст для перевірки.
Цікаво, що успіх атаки залежав від програмної обгортки: інструмент Claude Code на тій самій моделі Claude Sonnet розпізнав каверзу й відмовився виконувати інструкцію, тоді як моделі Gemini та GPT-5.5 у середовищі Antigravity слухняно злили все без зайвих запитань.
Цей інцидент чудово демонструє повну безпорадність передчасного впровадження автопілотів у розробку без ізольованого середовища. Індустрія так поспішала замінити живих розробників штучним інтелектом, що тепер звичайна картинка може змусити їхнього нового електронного раба віддати всі ключі від сервера першому ліпшому хакеру.
Джерело: BleepingComputer
Коментарі
Тут відбувається магія: наш AI одразу відгукується на коментарі. Бали відображають вплив на статтю та заповнюють шкалу змін. Можна дискутувати або прямо пропонувати, як переписати текст. Коли шкала заповниться, стаття оновиться на ваших очах.