Boletim ThreatsDay destaca GhostCommit: imagem em pull request esconde ordens para agente de revisão de código de IA
No boletim semanal ThreatsDay, entre diversas ameaças de naturezas variadas, destaca-se a técnica batizada de GhostCommit: um pull request contém uma imagem PNG aparentemente inofensiva cujo texto renderizado instrui um agente de IA de revisão de código a ler um arquivo .env, codificá-lo byte a byte e, depois do merge, exfiltrar segredos do repositório em uma sessão futura. O mesmo boletim também cobre um caso de jailbreaking de modelos de IA por ator estatal russo e vulnerabilidades introduzidas por código gerado por IA.
O GhostCommit explora um ponto cego comum em fluxos de revisão automatizada: agentes de IA que analisam pull requests frequentemente processam também imagens anexadas, seja para gerar descrições ou para verificar contexto visual. A técnica esconde instruções em texto dentro de uma imagem PNG que, para um revisor humano, é apenas uma captura de tela ou diagrama qualquer. Quando o agente de revisão processa essa imagem, ele interpreta o texto renderizado como instrução — nomear o arquivo .env, lê-lo byte a byte, codificar o conteúdo e verificar a decodificação — sem que isso apareça no diff textual que humanos normalmente auditam.
O aspecto mais perigoso do ataque é o adormecimento temporal: a carga maliciosa não é ativada no momento da revisão, mas permanece latente até ser disparada em uma sessão futura do agente, dificultando a correlação entre a introdução do PR malicioso e o momento real do roubo de credenciais como chaves da AWS ou de clusters Kubernetes. Isso desloca o modelo de ameaça de “revisão de código” de comparação puramente textual para um problema de todos os tipos de mídia que um agente multimodal consome.
O restante do boletim, embora majoritariamente sobre ameaças não relacionadas a IA (malware Android, ataques a CLPs industriais, extensões falsas de VS Code), inclui outros dois pontos relevantes para segurança de IA: um ator de ameaça vinculado à Rússia usando técnicas de jailbreak contra modelos de linguagem, e uma discussão sobre vulnerabilidades sistematicamente introduzidas por código gerado por IA em pipelines de desenvolvimento.
Tomados em conjunto, esses itens reforçam um padrão que vem se consolidando: agentes de IA que processam conteúdo de terceiros (imagens em PRs, páginas web, documentos) herdam uma superfície de ataque de injeção de prompt multimodal que ferramentas de segurança tradicionais, focadas em texto e em assinaturas de malware, ainda não cobrem bem.