ASSET研究团队披露了名为GhostCommit的概念验证攻击手段：该攻击将提示注入恶意指令隐藏在PNG图片中，再通过代码仓库的编码规范文件引用这张图片。其利用两大漏洞：人工审核人员极少检查图片内嵌内容，且研究人员实测的两款自动化审核工具CodeRabbit、Cursor Bugbot均未识别该风险。整套恶意载荷分为两部分：一是看似无害的AGENTS.md规范文件，会引导代码智能体从引用图片中提取数据；二是藏在图片内、可被识别的恶意文本指令，命令智能体逐字节读取仓库.env环境密钥文件，并将密钥以整数编码常量形式输出。实测显示，当后端搭载Claude Sonnet、Gemini、GPT-5.5大模型时，该攻击可从Cursor、Antigravity两款代码智能体中窃取密钥；仅存在一处局部例外：Antigravity平台上的Claude Opus虽输出了密钥，但识别出社工攻击特征后，在操作完成前主动删除了密钥内容。而Anthropic旗下Claude Code全系列模型，全程都会拒绝执行此类恶意指令。由于窃取到的密钥会以整数元组写入源代码，而非常规明文字符串，传统密钥扫描工具仅匹配凭证文本特征、无法解析数字序列，因此不会告警该提交记录。研究人员调研300个活跃开源仓库后发现，73%合并后的拉取请求在无有效人工、机器人审核的情况下直接并入主干分支。宽松的审核环境意味着：这类投毒规范文件合并入库后，到代码智能体触发恶意指令前，该攻击可长期潜伏且不被察觉。