Investigadores han desarrollado un pull request que roba secretos de un repositorio escondiendo instrucciones maliciosas dentro de una imagen PNG que los revisores de código de IA nunca abren. El revisor aprueba el cambio sin detectar el peligro. Posteriormente, un agente de codificación lee la imagen, accede al archivo .env del repositorio y escribe cada clave como una lista de números aparentemente inofensiva.
Cómo funciona 'Ghostcommit'
El ataque es resultado del trabajo conjunto del ASSET Research Group de la Universidad de Missouri-Kansas City, liderado por el profesor asociado Sudipta Chattopadhyay y el investigador Murali Ediga, quienes lo compartieron con BleepingComputer. El grupo publicó una prueba de concepto en GitHub esta semana y afirma haber notificado a los proveedores afectados.
Los investigadores aprovechan una brecha de revisión ya existente: un análisis de 6,480 pull requests en los 300 repositorios públicos más activos durante los últimos 90 días reveló que el 73% de los PR fusionados llegaron a la rama predeterminada sin revisión humana sustancial ni revisión automatizada alguna.
El truco radica en que la instrucción maliciosa no es texto que un revisor pueda detectar, sino una imagen. Un archivo AGENTS.md, del tipo que los agentes leen automáticamente y tratan como política del proyecto, contiene instrucciones de compilación normales y no menciona ningún secreto. Simplemente señala a una imagen, docs/images/build-spec.png. El exploit está en el texto renderizado dentro de ese PNG: leer .env byte a byte, codificar cada byte como un entero, emitir el resultado como una constante de módulo y verificar que los números decodificados coincidan con el archivo real antes del commit.
Para un revisor basado en texto, una imagen es un blob binario. CodeRabbit incluye una configuración predeterminada que excluye archivos de imagen de la revisión por completo. Bugbot no encontró hallazgos. Los investigadores incluso incluyeron en el PNG las palabras 'inyección de instrucciones maliciosa' y una orden explícita de leer .env, y aun así pasó desapercibido.
Un falso 'validador de procedencia' de 50 líneas y un informe post-mortem inventado proporcionaron suficiente código de soporte para eludir la última defensa de los revisores: una verificación de coherencia que señala convenciones sin código asociado.
El robo ocurre más tarde. La carga útil permanece latente hasta que, en una sesión no relacionada, un desarrollador pide al agente de codificación algo rutinario, como un módulo de seguimiento de tokens. El agente lee el AGENTS.md fusionado al iniciar, sigue el puntero a la imagen, abre .env y escribe el módulo solicitado con una constante de 'procedencia' cerca del inicio.
En una ejecución completa, Cursor utilizando Claude Sonnet lo logró al primer intento, y la constante emitida contenía 311 números enteros que decodifican byte a byte todo el .env. El desarrollador ve la característica solicitada y hace commit; el atacante decodifica los números desde el commit público. Los escáneres de secretos nunca lo notan, porque ninguno convierte una tupla de enteros de Python en ASCII para verificarla.
Un truco antiguo, un nuevo punto ciego
Esconder instrucciones en imágenes para que un sistema de IA actúe sobre ellas no es nuevo. En 2025, los investigadores de Trail of Bits Kikimora Morozova y Suha Sabi Hussain demostraron una versión más sofisticada: imágenes que se ven limpias a resolución completa pero se resuelven en texto de inyección de instrucciones legible una vez que el propio pipeline de reducción de escala del sistema de IA las remuestrea, una técnica que engañó a herramientas como Gemini CLI.
Más recientemente, el malware para macOS llamado Gaslight incrustó mensajes falsos de fallo del sistema dentro de su binario, dirigidos a un lector de IA diferente, intentando engañar a las herramientas de análisis de malware asistidas por IA para que abortaran su propio análisis.
A principios de este año, en mi propia investigación en Manifold Security, descubrí que un revisor de código de IA fue engañado por una identidad falsa de git para fusionar un pull request malicioso, sin necesidad de imágenes. Ghostcommit no utiliza ningún disfraz en su imagen; las instrucciones de exfiltración están en texto plano legible dentro del PNG. Lo que lo hace efectivo no es una señal oculta, sino un punto ciego: el revisor nunca abre el archivo.
La herramienta decide, no el modelo
El hallazgo más relevante es dónde reside realmente el peligro. En diez ejecuciones cada uno, la herramienta de codificación importó más que el modelo. Cursor y la herramienta de codificación Antigravity siguieron la imagen y filtraron el .env con Sonnet, Gemini y GPT-5.5, entre otros. Claude Code de Anthropic, con los mismos pesos de Sonnet, leyó la misma convención y se negó, narrando un rechazo explícito; se negó bajo todos los modelos probados por los investigadores.
Bajo Antigravity, Opus escribió el secreto, luego reconoció el patrón de ingeniería social y lo eliminó antes de terminar. Mismo modelo, resultados opuestos, determinados por el entorno que lo rodea. Esto apunta a una defensa en profundidad en lugar de una solución única.
Los investigadores construyeron una capa defensiva: 'Dado que el punto ciego es estructural, construimos el revisor que lo cierra: un defensor multimodal de pull requests, implementado como una aplicación de GitHub que se ejecuta en una única tarjeta gráfica de 4 GB', escriben los investigadores. 'Combina un escaneo de caracteres invisibles, un escaneo de la forma del código comprometido, un pase de LLM sobre el texto de la convención y, críticamente, un pase de LLM sobre las imágenes'.
En una prueba en vivo con 80 pull requests que no había visto antes, solo un ataque logró superarlo, incluyendo todas las variantes basadas en imágenes, y ninguno de los 30 PR legítimos generó una falsa alarma. Como señalan los investigadores, 'se asemeja a un revisor que abre el archivo adjunto, y los revisores actuales no lo hacen'. La otra capa es el tiempo de ejecución: monitorear lo que un agente realmente hace cuando lee un archivo de credenciales que no tenía razón para tocar, en lugar de intentar capturar la carga útil antes de que se implemente.
