GhostCommit เทคนิคโจมตีที่ซ่อนคำสั่งไว้ในภาพ PNG เพื่อหลอก AI Coding Agent

มีการเปิดเผยแนวคิดการโจมตีแบบใหม่ที่เรียกว่า GhostCommit ซึ่งแสดงให้เห็นว่า AI ประเภทช่วยเขียนโปรแกรม หรือ Coding Agent อาจถูกหลอกให้ทำตามคำสั่งที่อยู่ในไฟล์รูปภาพ PNG และนำไปสู่การเปิดเผยข้อมูลอ่อนไหวภายในโปรเจกต์ได้

รายงานของ Malwarebytes กล่าวถึงงานของทีม ASSET Research Group ซึ่งสาธิตการโจมตีในรูปแบบ Proof of Concept โดยใช้ไฟล์หลักสองส่วน ได้แก่ ไฟล์คำแนะนำของโปรเจกต์อย่าง AGENTS.md และไฟล์ภาพ PNG ที่ถูกอ้างถึงจากไฟล์ดังกล่าว

จุดสำคัญคือ ใน AGENTS.md ไม่ได้มีคำสั่งอันตรายเขียนไว้อย่างชัดเจน แต่ทำหน้าที่ชี้ให้ Coding Agent ไปอ่านไฟล์ภาพอีกที ส่วนคำสั่งที่แท้จริงถูกเขียนอยู่ภายในภาพ เช่น ให้เปิดอ่านไฟล์ .env และนำข้อมูลออกมาในรูปแบบที่ดูไม่เหมือนข้อมูลลับทั่วไป ทำให้ระบบตรวจสอบที่อ่านเฉพาะข้อความในโค้ดอาจมองข้ามสิ่งที่อยู่ในภาพได้

หลังจากไฟล์เหล่านี้เข้าไปอยู่ใน Repository แล้ว การโจมตียังไม่ได้เกิดขึ้นทันที แต่เมื่อผู้พัฒนาเรียกใช้ Coding Agent ในภายหลัง ตัว Agent อาจอ่าน AGENTS.md ตามปกติ จากนั้นเปิดภาพที่ถูกอ้างถึงและทำตามขั้นตอนในภาพ จนนำข้อมูลจาก .env ไปเขียนลงใน Source Code ในรูปแบบตัวเลข ซึ่งสามารถถอดกลับมาเป็นข้อมูลเดิมได้

ทีมวิจัยเรียกแนวทางนี้ว่า GhostCommit และผลการทดลองยังแสดงให้เห็นว่าพฤติกรรมไม่ได้ขึ้นอยู่กับตัวโมเดลเพียงอย่างเดียว แต่ยังขึ้นอยู่กับเครื่องมือหรือระบบที่ครอบโมเดลนั้นอยู่ด้วย

ในการทดสอบของ ASSET Research Group เครื่องมืออย่าง Cursor และ Antigravity บางการตั้งค่าสามารถอ่านภาพและทำตามคำสั่งจนข้อมูลจำลองจาก .env ถูกนำออกมา ขณะที่ Claude Code ปฏิเสธการทำตามคำสั่งในการทดสอบของทีมวิจัย แม้จะใช้โมเดลตระกูลเดียวกันในบางกรณีก็ตาม

นอกจากนี้ ในกรณีของ Antigravity ที่ใช้ Opus มีพฤติกรรมอีกแบบหนึ่ง คือสร้างข้อมูลออกมาก่อน แล้วจึงตรวจพบลักษณะของ Social Engineering และลบข้อมูลดังกล่าวก่อนจบกระบวนการ จึงเห็นได้ว่าผลลัพธ์ของการโจมตีไม่ได้เหมือนกันในทุกระบบ

อย่างไรก็ตาม GhostCommit ที่ทีม ASSET เปิดเผยเป็น Proof of Concept จากการทดลองในสภาพแวดล้อมที่ควบคุม โดยใช้ข้อมูลจำลองแทนข้อมูลลับจริง งานวิจัยนี้จึงเป็นการแสดงให้เห็นช่องทางการโจมตีที่เป็นไปได้ ไม่ใช่รายงานว่ามีแฮกเกอร์นำวิธีดังกล่าวไปใช้โจมตีระบบจริงแล้ว

ประเด็นสำคัญจากงานนี้คือ การตรวจสอบความปลอดภัยของ Coding Agent อาจไม่ควรมองเฉพาะข้อความหรือ Source Code เท่านั้น เพราะไฟล์รูปภาพและข้อมูลแบบ Multimodal ที่ Agent สามารถอ่านได้ก็อาจกลายเป็นช่องทางนำคำสั่งที่ไม่พึงประสงค์เข้าสู่ระบบได้เช่นกัน

สำหรับผู้พัฒนาและองค์กรที่ใช้ Coding Agent การจำกัดสิทธิ์เข้าถึงไฟล์สำคัญ ตรวจสอบไฟล์ที่ไม่ได้เป็นข้อความ และเฝ้าดูพฤติกรรมผิดปกติ เช่น การพยายามอ่าน Credential หรือไฟล์ Configuration โดยไม่จำเป็น จึงเป็นส่วนหนึ่งที่ช่วยลดความเสี่ยงจากการโจมตีลักษณะนี้ได้