TL;DR : L’essentiel
- Les chercheurs du groupe ASSET Research ont mis au point la preuve de concept Ghostcommit. Celle-ci montre comment piéger des assistants IA de revue de code en cachant des ordres malveillants dans un simple fichier d’image PNG.
- L’attaque s’appuie sur des fichiers de règles comme AGENTS.md pour forcer l’agent à lire l’image. L’IA exécute ensuite ces instructions invisibles pour exfiltrer des identifiants sensibles sans alerter les réviseurs humains.
- La sécurité de la chaîne de développement dépend principalement du logiciel d’encadrement de l’IA. Si des environnements comme Cursor et Antigravity exécutent l’ordre malveillant, le système Claude Code bloque l’exfiltration.
L’analyse de la méthode Ghostcommit met en lumière une vulnérabilité critique dans l’automatisation des revues de code. Les assistants de programmation analysent en effet des fichiers multimédias que les réviseurs humains ont tendance à négliger.
Un piège Ghostcommit en trois étapes camouflé dans les fichiers de configuration
Le piège débute lors d’une demande de modification de code, appelée pull request. L’attaquant y dépose une image au format PNG d’apparence banale, accompagnée d’un fichier de configuration de dépôt nommé AGENTS.md. Comme le détaille Malwarebytes, ce document dicte les règles de comportement de l’assistant IA et l’incite à accorder sa confiance au fichier visuel.
La deuxième étape exploite un décalage entre la vigilance humaine et le fonctionnement de la machine. Le développeur humain relit le code source et ignore l’image jointe, tandis que l’agent automatisé lit scrupuleusement le fichier PNG pour enrichir son contexte. En interprétant le contenu de l’image, l’IA découvre et enregistre les directives cachées par l’attaquant.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
La compromission s’accomplit lorsque l’assistant exécute plus tard une tâche ordinaire de programmation. Obéissant aux consignes invisibles, l’agent accède aux fichiers sensibles du système, extrait les identifiants secrets, puis les réécrit directement dans le code source révisé sous une forme masquée et offusquée.
Cette démonstration de Malwarebytes illustre parfaitement la manière dont les assistants IA peuvent être manipulés par des consignes cachées au cœur d’éléments visuels.
L’environnement d’encadrement conditionne la sécurité face à l’injection
La résistance à l’attaque Ghostcommit ne dépend pas du modèle de langage lui-même, mais du logiciel d’encadrement qui le pilote. Lors des tests menés avec le modèle Claude Sonnet, les environnements Cursor et Antigravity ont obéi aux ordres masqués dans l’image et consigné les secrets. À l’inverse, l’interface Claude Code conçue par Anthropic a détecté la consigne malveillante et a explicitement refusé d’exfiltrer les données.
Cette différence de comportement prouve que la sécurité de la chaîne d’approvisionnement logicielle repose sur le filtrage des pièces jointes et la gestion stricte des autorisations accordées aux agents. Pour prévenir ces injections multimodales, les organisations doivent restreindre l’accès de leurs outils aux identifiants et surveiller toute tentative inhabituelle de lecture de fichiers confidentiels.
Questions fréquentes sur la méthode Ghostcommit
Qu’est-ce que la méthode Ghostcommit ?
Ghostcommit est une preuve de concept qui montre comment cacher des instructions malveillantes dans une image PNG. Lorsqu’un assistant IA traite cette image pendant une revue de code, il exécute ces ordres à l’insu de l’équipe de développement.
Comment une image parvient-elle à tromper un assistant de code ?
L’attaquant associe l’image à un fichier de règles du projet comme AGENTS.md. L’assistant IA lit le fichier multimédia pour comprendre le projet, interprète les ordres cachés dans l’image et les applique en arrière-plan sans attirer l’attention des humains.
Pourquoi l’environnement d’exécution est-il plus décisif que le modèle d’IA ?
Le logiciel d’encadrement définit les accès aux fichiers et les barrières de sécurité de l’agent. Un même modèle d’intelligence artificielle peut refuser d’exfiltrer des données ou exécuter l’ordre aveuglément selon les restrictions imposées par l’outil qui le contrôle.
Comment se protéger contre les injections d’instructions par image ?
Les équipes doivent restreindre l’accès des assistants aux identifiants secrets, inspecter les pièces jointes non textuelles et surveiller les lectures anormales de fichiers système par les agents automatisés.
Zéro paywall. Zéro pub.
DCOD reste en accès libre grâce à vos contributions. Chaque café compte.
