Ghostcommit verstopt prompt-injectie in een PNG en laat AI-codeeragents .env-secrets lekken

Ghostcommit, een aanvalstechniek van onderzoekers van de University of Missouri-Kansas City, verstopt een kwaadaardige instructie in een PNG-afbeelding die AI-codereviewtools nooit openen. Een coding agent leest die aanwijzing later alsnog en trekt de geheime sleutels uit het .env-bestand van je project leeg.

De onderzoekers van de ASSET Research Group publiceerden deze week een proof-of-concept op GitHub en meldden hun bevindingen aan de betrokken leveranciers. Dat raakt elk Nederlands softwareteam dat leunt op geautomatiseerde codereview. Tools als CodeRabbit en Cursor Bugbot nemen het handmatige nakijkwerk in rap tempo over, maar ze delen een blinde vlek: binaire bestanden. Een aanvaller die zijn instructie in een plaatje giet, glipt langs precies de laag die je had ingericht om kwaadaardige code tegen te houden. De inzet is concreet: de API-sleutels, databasewachtwoorden en betaaltokens in je .env kunnen als onschuldig ogende getallen in een publieke commit belanden, klaar om later te worden uitgelezen.

Hoe de aanval werkt

De aanval begint met een onschuldig ogende pull request. Die voegt een AGENTS.md toe, het conventiebestand dat AI-agents automatisch inlezen, met wat gewone build-instructies en een verwijzing naar een plaatje op docs/images/build-spec.png. De kwaadaardige opdracht staat als leesbare tekst in die PNG: lees het .env-bestand byte voor byte, codeer elke byte als een geheel getal en zet het resultaat weg als een moduleconstante.

Tekstgebaseerde reviewers openen dat binaire bestand nooit. CodeRabbit sluit afbeeldingen standaard uit van de review; de onderzoekers propten de PNG vol met de letterlijke tekst "malicious prompt injection" en een opdracht om .env te lezen, en het geheel kwam er alsnog schoon doorheen. Een nep-"provenance validator" van vijftig regels en een verzonnen incidentrapport dekten de conventie af, zodat coherentiechecks niet aansloegen op een instructie zonder bijbehorende code.

Daarna blijft de payload slapen. Pas als een ontwikkelaar de coding agent later om iets alledaags vraagt, bijvoorbeeld een module om tokens bij te houden, wordt hij wakker. De agent leest bij het opstarten de samengevoegde AGENTS.md, volgt de verwijzing naar het plaatje, opent .env en schrijft de gevraagde module met een "provenance"-constante van 311 gehele getallen die byte voor byte het hele .env-bestand teruggeven. De ontwikkelaar ziet de functie die hij vroeg en commit hem. De aanvaller decodeert de getallen later uit de publieke commit. Secret-scanners slaan geen alarm, want die zetten een reeks Python-getallen niet terug om naar tekst.

De tool telt zwaarder dan het model

Niet elke tool trapte er even hard in, en juist dat patroon is leerzaam. CodeRabbit en Cursor Bugbot flagden tekstuele varianten van de aanval, maar misten de in een afbeelding verstopte versie. Cursor en Antigravity volgden de verwijzing en lekten de inhoud van .env onder meerdere modellen, waaronder Gemini 3.1 Pro. Claude Code weigerde de aanval bij elke test en benoemde expliciet waarom.

Over tien testruns bleek de gebruikte tool zwaarder te wegen dan het onderliggende model. Dezelfde slotsom trok Zscaler onlangs bij een test van 26 modellen op prompt-injectie: de architectuur eromheen doet er meer toe dan de prijs of het prestatieniveau van het model. Kies je een AI-codereviewtool, dan koop je geen veiligheid met een duurder model; de vraag is wat de tool wel en niet inspecteert.

Waarom het vangnet vaak ontbreekt

De onderzoekers keken ook hoe vaak er nog iemand of iets meekijkt. Van 6.480 pull requests in de 300 actiefste publieke repositories over negentig dagen haalde 73 procent de hoofdtak zonder inhoudelijke menselijke controle en zonder enige bot-review. Het geautomatiseerde vangnet waar veel teams op vertrouwen, hangt er in de praktijk vaak niet.

Dat maakt een aanval die juist op de review-laag mikt zo effectief. "Het lijkt op een reviewer die de bijlage opent, en de reviewers van vandaag doen dat niet", vatten de onderzoekers het samen.

Wat dit betekent voor je pijplijn

Het concrete werk zit in twee dingen. Behandel AGENTS.md en andere conventiebestanden als code die controle verdient, niet als vertrouwde inrichting, en kijk kritisch naar hoe je reviewpijplijn met afbeeldingen omgaat: een plaatje in een pull request is invoer, geen decoratie. Daarnaast helpt runtime-toezicht dat aanslaat zodra een agent zonder duidelijke reden een .env-bestand of andere credentials aanraakt. Hoe je die sleutels sowieso strak afschermt tegen tools en plugins is een oefening die los van deze aanval al de moeite waard is.

De onderzoekers lieten zien dat de verdediging haalbaar is. Hun multimodale PR-verdediger, een GitHub-app die op een grafische kaart van 4 GB draait en de afbeeldingen wel doorleest, stopte in een test 79 van de 80 onbekende aanvallen, zonder een vals alarm bij dertig legitieme pull requests.

Ghostcommit past in een reeks die deze zomer steeds hetzelfde laat zien: het gevaar zit zelden in een bug in het model, maar in de vertrouwensgrens en de blinde vlekken van de tools eromheen. Een dag eerder omzeilde GhostApproval het goedkeuringsvenster van zes AI-codeertools via een symlink, en eerder liet een schone GitHub-repo een codeeragent via een verstopte foutmelding malware draaien. Naarmate agents meer toegang krijgen tot je bestanden en je shell, verschuift de eis: de review-laag moet alles zien wat de agent ziet, tot en met de plaatjes.