标签： 密钥泄露

一项研究表明，一个隐藏了提示词注入指令的 PNG 文件可以窃取代码仓库的密钥。该技术被命名为“Ghostcommit”，成功绕过了 AI 代码审查工具 CodeRabbit 和 Bugbot——这两款工具完全不会打开图像文件——随后诱导一个编码代理读取仓库的 .env 文件，并把每一个密钥以数字列表的形式写入代码中。