Ghostcommit ฝัง Prompt ในไฟล์ PNG เพื่อดึงข้อมูลลับจาก .env ผ่าน AI agents

**Lead: นักวิจัยด้านความปลอดภัยได้เปิดเผยเทคนิคใหม่ชื่อ “Ghostcommit” ที่ซ่อนการโจมตีแบบ prompt injection ไว้ในไฟล์ภาพ PNG เพื่อลวง AI ตัวตรวจสอบโค้ดอย่าง CodeRabbit และ Bugbot ให้อ่านข้อมูลลับจากไฟล์ *.env* ของรีโพสิตอรีและเขียนออกมาเป็นรายการตัวเลข เทคนิคนี้แสดงให้เห็นว่าการโจมตีผ่านสื่อที่ไม่ได้รับการวิเคราะห์โดย AI สามารถละเมิดความปลอดภัยของโค้ดได้อย่างง่ายดาย

Overview

เทคนิค Ghostcommit ใช้หลักการฝังข้อความลับ (prompt) ไว้ในข้อมูลภาพ PNG ซึ่งโดยปกติ AI ตัวตรวจสอบโค้ดมักจะไม่เปิดหรือประมวลผลไฟล์รูปภาพใด ๆ การฝังนี้ทำให้เมื่อมีระบบ AI ที่ทำหน้าที่เป็น “coding agent” รับไฟล์นั้นเข้ามา มันอาจตีความข้อความที่ซ่อนอยู่เป็นคำสั่งในการอ่านไฟล์ *.env* ของโปรเจกต์และส่งออกค่าต่าง ๆ ไปยังโค้ดหลักได้

การทดลองครั้งแรกของทีมวิจัยทำบนแพลตฟอร์ม CI/CD ที่ใช้ AI ช่วยตรวจสอบโค้ดอัตโนมัติ พวกเขาใส่ไฟล์ PNG ที่มี prompt injection ไว้ในคอมมิทของรีโพสิตอรี จากนั้นให้ CodeRabbit และ Bugbot ตรวจสอบโดยไม่มีการเปิดภาพ ผลลัพธ์คือระบบ AI ได้รับคำสั่งแอบทำงานโดยไม่ได้ตั้งใจและเผยข้อมูลความลับทั้งหมด

How Ghostcommit Works

กระบวนการของ Ghostcommit แบ่งออกเป็นสามขั้นตอนหลัก:

ฝัง Prompt – นักวิจัยใช้เทคนิค steganography เพื่อซ่อนข้อความที่เป็นคำสั่ง (prompt) ไว้ในข้อมูลเมตาดาต้าของไฟล์ PNG
หลีกเลี่ยงการตรวจสอบ – เนื่องจาก CodeRabbit และ Bugbot ไม่ได้เปิดไฟล์ภาพ ทำให้ prompt ที่ซ่อนไม่ถูกค้นพบโดยเครื่องมือเหล่านี้
กระตุ้น Coding Agent – เมื่อ AI ตัวที่รับผิดชอบเขียนโค้ดอ่านไฟล์ PNG นี้ มันจะตีความข้อความซ่อนเป็นคำสั่งให้เปิดไฟล์ *.env* และส่งค่าที่อยู่ในนั้นกลับมาเป็นรหัสตัวเลขในไฟล์โค้ด

ขั้นตอนเหล่านี้ทำให้ข้อมูลลับที่ปกติควรถูกเก็บไว้แยกจากโค้ดหลัก กลายเป็นส่วนหนึ่งของโค้ดที่อาจถูกเผยแพร่ต่อสาธารณะโดยไม่ได้ตั้งใจ

Demonstration by Researchers

ทีมวิจัยได้สร้างตัวอย่างรีโพสิตอรีจำลองซึ่งมีไฟล์ *.env* เก็บค่า API_KEY, DB_PASSWORD และข้อมูลลับอื่น ๆ พวกเขาเพิ่มไฟล์ PNG ที่ฝัง prompt ลงในคอมมิทหนึ่งและรันกระบวนการตรวจสอบโค้ดโดยใช้ CodeRabbit และ Bugbot

ผลที่ได้คือ AI coding agent ดำเนินการตามคำสั่งใน prompt โดยอ่านค่าเหล่านี้จาก *.env* แล้วเขียนลงในไฟล์โค้ดเป็นลิสต์ตัวเลข ตัวอย่างเช่น `secret_1 = 12345`, `secret_2 = 67890` เป็นต้น การกระทำนี้แสดงให้เห็นว่าขั้นตอนตรวจสอบอัตโนมัติที่พึ่งพา AI อย่างเดียวอาจไม่สามารถป้องกันการโจมตีแบบซ่อนในสื่อได้

นักวิจัยย้ำว่าแม้วิธีการจะดูเรียบง่าย แต่ผลลัพธ์ทำให้ข้อมูลสำคัญขององค์กรตกอยู่ในความเสี่ยงอย่างรุนแรง เนื่องจากโค้ดที่ผ่านการตรวจสอบแล้วอาจถูกนำไปใช้งานต่อโดยไม่รู้ว่ามีข้อมูลลับแฝงอยู่

Security Implications

การโจมตีแบบ Ghostcommit สะท้อนถึงช่องโหว่ใหม่ในระบบ AI‑driven security ที่เน้นการสแกนโค้ดเท่านั้น การละเลยไฟล์ที่ไม่ได้เป็นโค้ดทำให้ผู้โจมตีมีพื้นที่ในการฝังคำสั่งแอบแฝงได้อย่างอิสระ

ผลกระทบหลักรวมถึง:

การรั่วไหลของข้อมูลลับ – ค่าที่อยู่ใน *.env* หรือไฟล์คอนฟิกที่ควรเป็นความลับสามารถถูกดึงออกมาและแทรกลงในโค้ดโดยอัตโนมัติ
ความเสี่ยงต่อซัพพลายเชน – หากโค้ดที่ผ่านการตรวจสอบแล้วถูกเผยแพร่ไปยังหลายโปรเจกต์ ข้อมูลลับจะกระจายอย่างรวดเร็วทั่วเครือข่ายขององค์กร
เพิ่มภาระการตรวจสอบ – ทีม DevSecOps ต้องเพิ่มขั้นตอนการสแกนไฟล์สื่อ (ภาพ, วิดีโอ) เพื่อป้องกัน prompt injection ที่ซ่อนอยู่

แม้ว่าการโจมตีนี้ยังไม่มีรายงานว่าเกิดขึ้นในระบบจริงขององค์กรใด ๆ แต่ความง่ายในการสร้าง PNG ที่มี prompt injection ทำให้เป็นภัยคุกคามที่อาจถูกนำไปใช้ได้อย่างกว้างขวาง

Mitigation & Recommendations

เพื่อป้องกันการโจมตีแบบ Ghostcommit ผู้ดูแลระบบและทีมพัฒนาควรดำเนินมาตรการต่อไปนี้:

สแกนไฟล์สื่อทั้งหมด – ใช้เครื่องมือที่สามารถตรวจสอบเมตาดาต้าและข้อมูลแฝงในภาพ PNG, JPEG ฯลฯ ก่อนนำเข้าระบบ CI/CD
จำกัดสิทธิ์ของ AI Agents – ตั้งค่าขอบเขตการเข้าถึงไฟล์สำคัญ เช่น *.env* ให้ AI coding agent ไม่สามารถอ่านหรือแก้ไขได้โดยตรง
แยกข้อมูลลับออกจากโค้ด – ใช้ระบบจัดการความลับ (secrets manager) ที่ให้ API แทนการเก็บค่าในไฟล์ที่อยู่ในรีโพสิตอรีเดียวกับโค้ด
เพิ่มขั้นตอนตรวจสอบมนุษย์ – สำหรับคอมมิทที่มีไฟล์ภาพหรือไฟล์ไม่ใช่โค้ด ควรทำการ review โดยผู้พัฒนาหรือผู้ดูแลความปลอดภัยก่อนรวมเข้ากับโค้ดหลัก

การปรับกระบวนการเหล่านี้จะช่วยลดพื้นที่สำหรับการฝัง prompt injection และเพิ่มระดับความมั่นคงของระบบ AI‑assisted code review

Future Outlook

เทคนิค Ghostprompt อย่าง Ghostcommit แสดงให้เห็นว่าการโจมตีทางไซเบอร์กำลังพัฒนาไปสู่การใช้สื่อที่ไม่ใช่โค้ดเป็นเวกเตอร์หลัก นักวิจัยคาดว่าในอนาคตอาจมีการพัฒนา AI ที่สามารถ “อ่าน” และ “แปลความหมาย” ของไฟล์สื่อได้อย่างละเอียดมากขึ้น เพื่อป้องกันการฝังข้อมูลลับแบบนี้

อย่างไรก็ตาม การเพิ่มขีดความสามารถของ AI ให้ตรวจจับ steganography ก็อาจทำให้ผู้โจมตีหาวิธีใหม่ ๆ เพื่อต่อกรกับระบบได้ต่อเนื่อง จึงจำเป็นต้องมีการวิจัยและพัฒนามาตรการป้องกันอย่างต่อเนื่องในชุมชนด้านความปลอดภัย

Summary

Ghostcommit เป็นเทคนิคที่ซ่อน prompt injection ไว้ในไฟล์ PNG เพื่อให้ AI coding agents ดำเนินการอ่านไฟล์ *.env* และเปิดเผยข้อมูลลับ การโจมตีนี้แสดงถึงช่องโหว่ของระบบตรวจสอบโค้ดอัตโนมัติที่ละเลยสื่อไม่ใช่โค้ด ทำให้ต้องมีมาตรการสแกนและควบคุมสิทธิ์เพิ่มเติมเพื่อป้องกันความเสี่ยงในอนาคต.