文章总结： 本文剖析Ghostcommit揭示的多模态提示注入风险，指出恶意指令可藏于图片绕过审查，误导AI代理执行危险操作，攻击面已扩展至代理可解释的所有输入。文章提出建立输入、权限、决策与证据四道边界，并给出五项建议：盘点AI权限、非代码文件纳入审查、采用最小权限凭证、高风险操作人工审批及开展演练，强调代理安全须回归传统工程纪律。 综合评分： 91 文章分类： AI安全,代码审计,漏洞分析,安全建设

当一张图片也能“命令”AI：代码审查的边界正在被重写

原创

tcode tcode

字节脉搏实验室

2026年7月16日 10:20 北京

在小说阅读器读本章

去阅读

    一个拉取请求摆在审查者面前：改动不大，源码差异也很干净，只多了一张看似普通的项目图片。

    人类审查者可能快速扫过它。传统静态扫描器通常把它当作二进制文件。AI 代码审查工具也可能只告诉你：“图片无法进行文本差异比较。”

    但在另一个环节，具备视觉能力的编程代理却可能读懂这张图里的内容，并把其中的文字当成下一步任务。

    同一个仓库，在不同工具眼里，已经不是同一个仓库。

    Ghostcommit 揭示的，不只是一个新花样

    7 月中旬披露的 Ghostcommit 概念验证展示了一类多模态提示注入风险：恶意指令可以被放进图片等非传统输入，绕开主要关注源码和文本的审查环节，再影响会读取这些资源的 AI 编程代理。

    这里需要保持两个判断同时成立。

    第一，这是一项研究演示，不能据此断言所有 AI 编程工具、所有版本和所有配置都已受到相同影响。工具是否能读取图片、拥有何种权限、是否允许外部通信，都会改变风险。

    第二，它揭示的边界问题是真实而普遍的：只要 AI 代理能够把外部内容解释成指令，内容就不再只是“数据”。

    过去，安全团队习惯把攻击面画在 API、依赖、配置和可执行文件周围。进入代理时代后，还要多问一句：哪些文件会进入模型上下文，模型读完之后又能做什么？

    代码没问题，不代表“上下文”没问题

    传统代码审查有一个默认前提：真正影响程序行为的内容，大体会出现在源码、依赖和配置差异里。因此，团队围绕文本 diff 建立了成熟流程：谁改了哪一行、引入了什么包、测试是否通过、谁批准了合并。

    AI 代理打破了这个前提。

    为了理解项目，它可能读取说明文档、问题描述、提交信息、网页、图片、日志和代理规则文件。为了完成任务，它还可能访问本地文件、调用工具、执行命令或提交修改。于是，攻击面不再等于“会被程序执行的代码”，而变成了“会被代理解释的输入”与“代理有权执行的动作”的组合。

    这也是 Ghostcommit 最重要的启示：一张图片本身未必能直接伤害系统，但当它进入一个有权限、有工具、会行动的代理上下文时，它就可能成为决策链的一部分。

    真正需要治理的是四道边界

    面对这类风险，最容易出现的反应是“以后别让 AI 看图片”。这能减少一个入口，却没有解决根因。下一次载体可能是文档、网页、工单或构建日志。

    研发团队更应该建立四道边界。

    一是输入边界。 明确代理会读取哪些文件类型和外部资源。来自拉取请求、第三方依赖、网页和附件的内容应默认视为不可信数据，而不是高优先级指令。新增的图片、二进制文件和代理规则文件需要进入人工审查清单。

    二是权限边界。 代理只获得完成当前任务所需的最低权限。生产凭据、长期令牌、个人目录和其他仓库不应因为“提高效率”而默认可见。即使发生提示注入，低权限也能把影响限制在较小范围。

    三是决策边界。 AI 可以提出修改建议，但涉及依赖升级、权限变更、密钥处理、发布配置和自动合并的动作，应保留人工批准。一个模型给出的“审查通过”，不能替代测试、策略检查和责任人签字。

    四是证据边界。 记录代理读取了什么、调用了什么工具、修改了哪些文件，以及关键决策由谁批准。没有审计记录，团队很难区分正常自动化、模型误判和恶意诱导。

明天就能做的五件事

    不必等待一套完美的“AI 安全平台”，团队现在就可以降低风险。

    1. 盘点哪些代码仓库已经接入 AI 审查或编程代理，并记录每个工具的文件读取范围、网络能力和凭据权限。

    2. 把图片、压缩包、生成文件和代理指令文件加入拉取请求检查项，尤其关注来源不明或与功能改动无关的新资源。

    3. 将开发环境凭据改为短期、最小权限凭据，确保代理即使读取工作区，也接触不到生产密钥。

    4. 关闭高风险动作的无人值守执行，至少让外部通信、敏感文件访问、依赖变更和自动合并需要明确批准。

    5. 用一个无敏感数据的测试仓库做安全演练，验证代理遇到不可信指令时会如何反应，并确认日志能否还原过程。

    这五件事听起来并不“智能”，却比单纯相信供应商的一个安全开关更可靠。代理安全最终仍然取决于传统工程纪律：最小权限、输入不可信、职责分离和可审计。

    别把 AI 审查当成第二个同事

    团队常把 AI 代码审查描述成“多了一双眼睛”。这个比喻容易让人放松警惕，因为同事会理解组织规则，也会为自己的决定负责。

    代理更像一个速度极快、能力不均衡、可以调用工具的自动化系统。它能发现人类遗漏的问题，也可能把不可信内容误当成任务。评价它时，不应只问“准确率多高”，还要问“出错时能做多大范围的事”。

    效率指标回答的是它能节省多少时间；权限设计回答的是它最多能造成多少损失。两者必须一起进入采购和上线评估。

信息边界

    已确认事实：Ghostcommit 公开研究把图片载体带入了 AI 编程代理的提示注入讨论，并展示了传统文本审查与多模态代理之间可能存在的视野差异。

    需要谨慎之处：不同产品、版本和部署配置的行为并不相同，概念验证不能直接等同于大规模真实入侵，也不能据此判断某个具体组织已经受影响。

    本文观点：AI 代码审查的安全边界，不应由“模型是否聪明”定义，而应由它能读取什么、能调用什么、哪些动作必须由人批准来定义。

结语

    代码审查并没有因为 AI 变得过时，反而需要覆盖更大的范围。

    当图片、文档和网页都可能影响代理行为时，团队真正要审查的不只是代码，还包括上下文、权限和行动路径。看见这一点，才算真正进入了 AI 工程时代。

参考来源

• Malwarebytes：Ghostcommit attack hides malicious AI instructions in images（2026-07-13）

• BleepingComputer：Ghostcommit hides prompt injection in images to fool AI agents（2026-07-11）

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：字节脉搏实验室 tcode tcode《当一张图片也能“命令”AI：代码审查的边界正在被重写》