新攻击Ghostcommit藏指令于PNG诱骗AI

发生了什么

据稀土掘金报道，安全圈曝出新攻击Ghostcommit，恶意指令被藏在PNG图片中，诱骗AI编码助手窃取仓库密钥。攻击者利用AI工具读取图片上下文执行隐藏指令，并通过GitSpawn等技术在本机权限下执行恶意程序。文章建议升级Agent版本、检查配置文件、使用虚拟机隔离及限制Agent推送权限以防范此类风险。