Sicherheitsforscher haben einen neuen Ghostcommit-Angriff entdeckt, der auf KI-Codeassistenten abzielt. Anstatt schädliche Anweisungen im Quellcode zu platzieren, verstecken die Angreifer sie in PNG-Bildern. Diese Technik ermöglicht es bösartigen Pull Requests, automatisierte Codeprüfungen zu passieren, bevor KI-Agenten unbeabsichtigt sensible Daten aus Code-Repositories preisgeben.
Die Forscher erklären, dass der Angriff eine Lücke zwischen KI-Tools zur Codeprüfung und KI-Codeassistenten ausnutzt. Das eine System ignoriert Bilddateien, während das andere sie als vertrauenswürdige Projektanweisungen interpretiert.
KI-Codeprüfungs-Tools ignorieren das schädliche Bild
Der Ghostcommit-Angriff wurde von Forschern der ASSET Research Group an der University of Missouri–Kansas City entwickelt.
Ihr Proof-of-Concept zeigt, wie Angreifer einen harmlos wirkenden Pull Request mit einem PNG-Bild einreichen können, das eingebettete Anweisungen für Prompt Injection enthält. Viele automatisierte Tools zur Codeprüfung überspringen Bilddateien vollständig. Dadurch passiert der schädliche Inhalt die Prüfung, ohne Warnungen auszulösen.
Die Forscher haben einen Proof-of-Concept veröffentlicht und ihre Erkenntnisse mit den betroffenen Anbietern geteilt.
Versteckte PNG-Datei bringt KI dazu, Geheimnisse preiszugeben
Anstatt schädliche Anweisungen im Quellcode zu speichern, werden sie in einer PNG-Datei versteckt, auf die in einem AGENTS.md-Dokument verwiesen wird.
Die AGENTS.md-Datei wirkt wie eine gewöhnliche Projektrichtlinie. Tatsächlich weist sie KI-Codeassistenten jedoch an, das Bild zu öffnen. Die PNG-Datei enthält Anweisungen, die die KI dazu veranlassen, die .env-Datei des Repositories zu lesen, jedes Byte in Ganzzahlen umzuwandeln und diese Werte als scheinbar harmlose Konstante in den Quellcode einzufügen.
Da die gestohlenen Daten als Ganzzahlen statt als Klartext codiert werden, erkennen herkömmliche Secret-Scanner das Datenleck nicht.
In einem Test erzeugte ein KI-Codeassistent ein Modul mit mehr als 300 Ganzzahlen. Diese Werte konnten später wieder in den vollständigen Inhalt der .env-Datei zurückverwandelt werden.
Der Angriff wird erst später aktiviert
Der bösartige Pull Request stiehlt keine Geheimnisse unmittelbar nach dem Merge.
Stattdessen bleibt die Schadfunktion inaktiv, bis ein Entwickler den KI-Codeassistenten später mit einer routinemäßigen Programmieraufgabe beauftragt. Beim Start liest der Assistent die vertrauenswürdige AGENTS.md-Datei. Anschließend öffnet er die referenzierte PNG-Datei und befolgt die versteckten Anweisungen, während er den angeforderten Code erstellt.
Der Entwickler erhält die gewünschte Funktion und übernimmt die Änderungen. Ohne es zu bemerken, veröffentlicht er gleichzeitig die codierten Geheimnisse aus dem Repository. Die Angreifer können anschließend die Zahlen entschlüsseln und die ursprünglichen Zugangsdaten wiederherstellen.
Die Codeplattform macht den Unterschied
Die Forscher stellten fest, dass der Erfolg des Ghostcommit-Angriffs stärker von der verwendeten Codeplattform als vom zugrunde liegenden KI-Modell abhing.
Mehrere Coding-Tools folgten den versteckten Anweisungen und gaben Repository-Geheimnisse über verschiedene KI-Modelle hinweg preis. Andere Plattformen verweigerten die schädlichen Aktionen konsequent, selbst wenn sie dasselbe Sprachmodell verwendeten.
Ein KI-Codeassistent erzeugte sogar zunächst das codierte Geheimnis, bevor er das verdächtige Verhalten erkannte. Anschließend löschte er die Daten noch vor Abschluss der Aufgabe.
Diese Ergebnisse zeigen, dass Laufzeitschutz und plattformspezifische Sicherheitsmaßnahmen ebenso wichtig sind wie Verbesserungen der KI-Modelle selbst.
Forscher empfehlen mehrere Schutzebenen
Um das Problem zu lösen, entwickelten die Forscher ein multimodales System zur Prüfung von Pull Requests, das sowohl Quellcode als auch Bilder analysiert.
Das System sucht nach versteckten Zeichen, untersucht die Codestruktur, überprüft Projektkonventionen mithilfe von KI und analysiert angehängte Bilder auf Versuche einer Prompt Injection.
Während der Tests analysierte der Prototyp 80 zuvor unbekannte Pull Requests. Er erkannte alle bildbasierten Angriffe bis auf einen. Gleichzeitig erzeugte er bei 30 legitimen Pull Requests keine Fehlalarme.
Die Forscher empfehlen außerdem, KI-Codeassistenten während ihrer Ausführung zu überwachen. Ungewöhnliches Verhalten, etwa der Zugriff auf Dateien mit Zugangsdaten ohne legitimen Grund, könnte einen Angriff aufdecken, bevor sensible Informationen offengelegt werden.
0 Kommentare zu „Ghostcommit-Angriff nutzt PNG-Bilder, um KI-Codeagenten dazu zu bringen, Geheimnisse preiszugeben“