GhostCommit: How Images Can Hijack AI

A Picture Is No Longer Just a Picture

We have spent years learning the old security rules: do not open unknown executables, do not enable suspicious macros and do not click random links. GhostCommit introduces a stranger warning. In an AI-assisted workflow, an ordinary-looking image can become an instruction channel.

The proof of concept from the University of Missouri–Kansas City’s ASSET Research Group does not make a PNG execute malware by itself. Instead, it targets a vision-capable AI coding agent. The human sees an image. The agent may see text inside that image, interpret it as project policy and act with the access already granted to it.

How GhostCommit Works

The attack begins in a pull request. An attacker submits plausible code, a repository instruction file such as AGENTS.md, and a PNG that looks like ordinary documentation. The instruction file points the coding agent to the image without exposing the dangerous request in the text diff.

A human reviewer may focus on the source code. A text-only review bot may treat the PNG as a binary asset and skip its visual contents. If the pull request is merged, the payload can remain dormant.

Later, a developer asks an AI agent to complete an unrelated, routine task. The agent reads the repository instructions, opens the referenced image and encounters attacker-written directions. In the controlled demonstration, those directions caused some tool-and-model combinations to read a seeded .env file and place its contents into generated code in disguised form.

1. Delivery: a normal-looking pull request adds instructions and an image.
2. Blind spot: reviewers inspect the text but do not interpret the image.
3. Dormancy: nothing has to happen when the pull request is merged.
4. Trigger: the coding agent later loads the repository context during a normal task.
5. Action: the agent uses its own permissions to access and expose sensitive data.

The Victim Does Not Have to Run the Image

Traditional malware usually needs code execution somewhere in the chain. GhostCommit is an indirect prompt-injection attack. The malicious content is written for the AI, and the AI supplies the capability through the tools and permissions it already has.

That separation makes the attack easy to underestimate. The pull request may look harmless when reviewed, the payload may wait for days or weeks, and the eventual action may appear inside a legitimate feature the developer requested.

The Coding Tool Matters as Much as the Model

One of the most useful findings is that the surrounding application—or harness—changed the outcome. The same model did not behave identically in every coding environment because each tool decides what context to load, what files can be read, which actions need approval and how suspicious instructions are handled.

In the researchers’ controlled tests, several combinations followed the image instructions. Claude Code refused across the models tested. That does not prove any tool is permanently safe or unsafe; products change, defenses evolve and one proof of concept cannot cover every configuration. It does prove that evaluating “the model” alone misses a large part of the security boundary.

Should Regular Users Worry?

GhostCommit is aimed at AI-assisted software development, not at ordinary photo viewing. A PNG in your camera roll is not suddenly a self-executing virus because of this research.

The broader lesson does reach beyond developers. AI systems increasingly read screenshots, PDFs, emails, web pages, design files and videos. Whenever an agent can both consume untrusted content and take privileged actions, that content becomes part of the attack surface.

How Developers Can Reduce the Risk

• Use least privilege. Give an agent access only to the files, commands and services needed for the task.
• Keep secrets out of reach. Do not expose production credentials or broad cloud tokens to everyday coding sessions.
• Review instruction files carefully. Treat AGENTS.md, rules, skills, hooks and linked artifacts as executable policy for the agent.
• Inspect non-text assets. Images, PDFs and other binary files should not receive a free pass in security review.
• Require approval for sensitive actions. Reading credential files, making network requests and changing deployment configuration deserve stronger gates.
• Monitor behavior. Alert when an agent touches secrets or unrelated configuration during a normal coding task.
• Rotate exposed credentials. If an agent may have leaked a key, treat it as compromised instead of waiting for proof of abuse.

No single filter solves indirect prompt injection. The safer strategy is defense in depth: review what enters, restrict what the agent can reach and watch what it actually does.

Sources and Further Reading

• ASSET Research Group: GhostCommit disclosure
• ASSET Research Group: proof-of-concept repository
• Malwarebytes: GhostCommit attack overview

Una imagen ya no es solamente una imagen

Durante años aprendimos las reglas clásicas de seguridad: no abrir ejecutables desconocidos, no activar macros sospechosas y no entrar en enlaces raros. GhostCommit presenta una advertencia mucho más extraña. En un flujo de trabajo con IA, una imagen normal puede convertirse en un canal de instrucciones.

La prueba de concepto del grupo ASSET de la Universidad de Missouri–Kansas City no hace que un PNG ejecute malware por sí solo. Ataca a un agente de programación con visión. La persona ve una imagen; el agente puede leer el texto dentro de ella, interpretarlo como una regla del proyecto y actuar con los permisos que ya tiene.

Cómo funciona GhostCommit

El ataque comienza en un pull request. El atacante envía código creíble, un archivo de instrucciones del repositorio como AGENTS.md y un PNG que parece documentación normal. El archivo de reglas dirige al agente hacia la imagen sin mostrar la petición peligrosa dentro del diff de texto.

Un revisor humano puede concentrarse en el código. Un bot que solo analiza texto puede tratar el PNG como un archivo binario e ignorar su contenido visual. Si el pull request se acepta, la carga queda dormida.

Más tarde, el desarrollador pide al agente una tarea rutinaria y sin relación con ese cambio. La IA carga las reglas del repositorio, abre la imagen y encuentra instrucciones escritas por el atacante. En la demostración controlada, algunas combinaciones de herramienta y modelo leyeron un archivo .env de prueba y colocaron sus secretos dentro del código generado de forma disfrazada.

1. Entrega: un pull request aparentemente normal agrega reglas y una imagen.
2. Punto ciego: los revisores leen el texto, pero no interpretan la imagen.
3. Espera: el ataque no necesita activarse cuando se acepta el cambio.
4. Disparo: el agente carga ese contexto durante una tarea posterior.
5. Acción: la IA usa sus propios permisos para acceder y exponer datos.

La víctima no tiene que ejecutar la imagen

El malware tradicional suele necesitar ejecutar código en algún punto. GhostCommit es una inyección indirecta de prompts. El contenido malicioso está escrito para la IA, y la capacidad de hacer daño viene de las herramientas y permisos que el agente ya posee.

Esa separación vuelve el ataque fácil de subestimar. El cambio puede parecer inofensivo durante la revisión, la carga puede esperar días o semanas y la acción final puede aparecer dentro de una función legítima solicitada por el desarrollador.

La herramienta importa tanto como el modelo

Uno de los hallazgos más útiles es que la aplicación que rodea al modelo —el harness— cambió el resultado. El mismo modelo no actuó igual en todos los entornos porque cada herramienta decide qué contexto cargar, qué archivos puede leer, qué acciones necesitan aprobación y cómo tratar instrucciones sospechosas.

En las pruebas controladas, varias combinaciones siguieron las órdenes de la imagen. Claude Code se negó con todos los modelos probados. Eso no demuestra que una herramienta sea segura o insegura para siempre: los productos cambian y una prueba no cubre todas las configuraciones. Sí demuestra que evaluar solamente “el modelo” deja fuera una gran parte de la frontera de seguridad.

¿Debe preocuparse un usuario normal?

GhostCommit apunta al desarrollo de software asistido por IA, no a mirar fotos normalmente. Un PNG en tu teléfono no se convierte de repente en un virus que se ejecuta solo por esta investigación.

La lección más amplia sí nos afecta a todos. Las IA ya leen capturas, PDFs, correos, páginas web, diseños y videos. Cuando un agente puede consumir contenido no confiable y también ejecutar acciones privilegiadas, ese contenido forma parte de la superficie de ataque.

Cómo pueden protegerse los desarrolladores

• Usa el mínimo privilegio. Permite acceso solo a los archivos, comandos y servicios necesarios.
• Mantén los secretos fuera de alcance. No expongas credenciales de producción ni tokens amplios en sesiones diarias.
• Revisa los archivos de instrucciones. Trata AGENTS.md, reglas, skills, hooks y recursos enlazados como políticas ejecutables para el agente.
• Inspecciona archivos no textuales. Imágenes, PDFs y otros binarios no deben recibir un pase libre.
• Exige aprobación para acciones sensibles. Leer credenciales, conectarse a internet o cambiar despliegues merece controles más fuertes.
• Monitorea el comportamiento. Genera alertas si el agente toca secretos o configuración ajena a la tarea.
• Rota credenciales expuestas. Si una clave pudo filtrarse, trátala como comprometida.

Ningún filtro resuelve por sí solo la inyección indirecta de prompts. La estrategia segura combina revisión de entradas, permisos limitados y vigilancia de lo que el agente realmente hace.

Fuentes y lectura adicional

• ASSET Research Group: informe de GhostCommit
• ASSET Research Group: repositorio de la prueba de concepto
• Malwarebytes: análisis general de GhostCommit