Boletim ThreatsDay destaca GhostCommit: imagem em pull request esconde ordens para agente de revisão de código de IA
No boletim semanal ThreatsDay, entre diversas ameaças de naturezas variadas, destaca-se a técnica batizada de GhostCommit: um pull request contém uma imagem PNG aparentemente inofensiva cujo texto renderizado instrui um agente de IA de revisão de código a ler um arquivo .env, codificá-lo byte a byte e, depois do merge, exfiltrar segredos do repositório em uma sessão futura. O mesmo boletim também cobre um caso de jailbreaking de modelos de IA por ator estatal russo e vulnerabilidades introduzidas por código gerado por IA.
Fonte ↗