Ghostcommit PoC: PNG에 프롬프트 주입을 삽입하여 저장소 비밀 정보 탈취

요약

UMKC의 ASSET 연구 그룹은 PNG 이미지 파일 내부에 악성 프롬프트 주입 지침을 숨기는 'Ghostcommit' PoC 공격을 발표했습니다. 이 기술은 AI 코딩 에이전트가 바이너리 이미지를 분석에서 제외하는 사각지대를 이용해 저장소 비밀 정보를 유출합니다. 개발 파이프라인 운영자는 이미지 파일을 새로운 입력 표면으로 간주하고 신뢰 경계를 재평가해야 합니다.

핵심 포인트

• PNG 이미지 파일에 악성 프롬프트 주입 가능
• AI 코딩 에이전트의 분석 사각지대 이용 공격
• 저장소 비밀 정보 유출 위험 증가
• 이미지 파일을 새로운 입력 표면으로 간주해야 함