2026 年 10 月，安全圈曝光新攻击手法 Ghostcommit：恶意指令藏进 PNG 图片，AI 编码助手（一种能自动读写代码的工具）读图时把仓库密钥编码成数字、混在代码里推到公网。CodeRabbit 这类审查工具不扫图片，直接放行。这事的判断是：AI 读得越多，攻击面也跟着撑大——审查工具还看不见。
同期还有 GitSpawn、Plugin4Shell、GhostApproval 等相关漏洞被曝光，波及 Amazon、Google、Anthropic、Cursor 等厂商，至今仍有未修补的。攻击本质是：Agent 为理解项目主动吞下大量上下文（图片、文档、配置），但分不清项目素材还是塞进来的命令，传统沙箱（隔离运行环境）边界对它已经失效。
这是什么
Ghostcommit 不是单一漏洞，而是一类攻击模式：把恶意提示藏进 Agent 会主动读取的文件类型——PNG、.git/config、插件仓库、符号链接——让它在"无意识"状态下执行。攻击者只需骗过那个替你读代码的 AI。
已实测的路径：往 .git/config 塞异常字段让 Agent 跑 git status 时执行恶意程序；用同名分支在插件更新时换毒代码；符号链接让审批框显示一个文件、实际写到另一个。多家 IDE（集成开发环境）企业版也在范围内。
行业怎么看
主流厂商的反应是打补丁：Claude Code 2.1.196 关掉 GitSpawn 通道，Codex CLI 0.149.0 也补了口子。但 Wiz 研究员指出，这是 Agent 设计哲学的代价——上下文读得越多越聪明，被带偏概率也越高。只靠版本升级堵不住所有变种。
另一种声音更尖锐：独立开发者社区质疑，主流厂商至今没讲清楚"信任一个文件夹"等同于"给它代码执行权"这件事。文章作者冠煌的判断更直接——AI 编码工具不是不能用，是要当成"能力强但天真的新同事"对待，治理重点不是禁用，是边界。
反对意见也值得听：把所有陌生仓库丢进虚拟机增加成本，对独立接单者不现实。"安全这事，不比谁更聪明，比谁多麻烦一点就多活一天"——这是当下没有更优解时的现实折中。
对普通人的影响
对企业 IT：如果团队在用 AI 编码助手，需要重新审计代码提交流程——.env、SSH 私钥不能和工作区混在一起。
对个人职场：开发者需要把陌生仓库、AI 生成的工程先放进隔离环境跑。多了一步，但对长期接单的人是必需成本。
对消费市场：短期内普通用户感知不大，但 AI 编程工具进入企业后，"安全边界"可能成为服务交付里可计价的细分项目。