上周五下午，我在 GitHub 上刷到一个项目，名字叫 ghostcommit，来自 ASSET Research Group。当时我正用 Claude Code 写一个文件搜索 MCP Server，读到一个 PR 里有人贴了一张 PNG 图片当技术文档。我没多想，扫了一眼就把 PR 合并了。看到 ghostcommit 的描述后，我后背一凉——那张图可能就是突破口。
Ghostcommit 的攻击逻辑简单到让人害怕：攻击者提交一个 PR，里面加一份 AGENTS.md 配置文件和一个 PNG 图片。AGENTS.md 里只有一行字——"build specs see docs/images/build-spec.png"。没有密钥名，没有恶意指令，任何文本审查都看不出问题。真正的攻击指令被渲染进了那张 PNG 图片里：读 .env 文件，逐字节转成整数序列，作为源码常量输出。PR 审查通过、合并，攻击触发的那一步要等到开发者正常使用 AI 编程工具时才会发生。
这不是科幻小说。研究团队用 Cursor、Codex CLI、Antigravity 全部复现成功，只有 Claude Code 系列模型拒绝执行。今天这篇文章，我把整个攻击链拆开讲清楚，同时聊聊这对每个用 AI 编程的人意味着什么。如果你也在用 AI 编程工具写代码、审 PR，Ghostcommit 就是你今天必须知道的攻击手法。
攻击链全景：四步走完一场无声的窃密
第一步，攻击者在目标仓库创建一个 PR，包含两个文件：AGENTS.md和docs/images/build-spec.png。AGENTS.md 的内容看起来人畜无害——它只是一个指向图片的文档。真正的恶意指令被嵌入在 PNG 图片的像素内，以可见文字的形式呈现（不是隐写术，就是图片里的文字渲染）。
第二步，PR 被提交给 AI 代码审查工具审核。Cursor Bugbot、CodeRabbit 等工具只分析文本差异，不会打开 PNG 图片。CodeRabbit 的默认配置甚至直接跳过 .png 文件。于是这张藏有完整攻击指令的图片毫无阻碍地通
)