งานวิจัยสำคัญ: ใน 7 จาก 11 กรณี เอเจนต์เปิดเผยความลับทั้งหมด

เอเจนต์อยู่บนเครื่อง ความลับอยู่บนเครื่อง เอเจนต์จะอ่านความลับทันทีที่มีสิ่งใดสั่งให้มันทำ และตอนนี้ ไม่มีอะไรคอยตรวจสอบว่าใครเป็นคนสั่ง

นี่ไม่ใช่คำเตือนถึงการโจมตีในอนาคต แต่เป็นคำอธิบายของทุก repository ที่เอเจนต์เขียนโค้ดอ่าน AGENTS.md และมีไฟล์ .env อยู่ในโฟลเดอร์เดียวกัน ข้อมูลรับรองอยู่บนดิสก์ในตำแหน่งที่โค้ดรัน เอเจนต์มีสิทธิ์เข้าถึงระบบไฟล์ และสิ่งเดียวที่คั่นระหว่างสองสิ่งนี้คือความหวังว่าจะไม่มีใครชี้เอเจนต์ไปที่ไฟล์ที่ถูกต้องในทางที่ถูกต้อง

เดือนนี้ นักวิจัยจาก University of Missouri-Kansas City แสดงให้เห็นว่าความหวังนั้นบางเพียงใด [1][2]

pull request ที่ไม่มีใครตั้งคำถาม

Sudipta Chattopadhyay และ Murali Ediga จาก ASSET Research Group เผยแพร่ Convention-File Steganographic Exfiltration in Coding-Agent Pipelines และ proof-of-concept ที่พวกเขาเรียกว่า Ghostcommit [1][2] การโจมตีคือ pull request และ pull request นั้นคือกับดัก

pull request นี้เพิ่มไฟล์เดียว: เอกสาร convention การเขียนโค้ดชื่อ AGENTS.md ซึ่งเอเจนต์เขียนโค้ดจะถือเป็นนโยบายของโปรเจกต์ เนื้อหา convention ไม่มีอันตราย ไม่ระบุความลับ ไม่มีขั้นตอนการเข้ารหัส และไม่มีสิ่งใดที่มีรูปแบบของข้อมูลรับรอง มันเพียงบอกว่า: ให้ derive ค่า provenance constant ของโมดูลจาก canonical build specification ใน docs/images/build-spec.png [1]

คำสั่งจริงอยู่ภายในไฟล์ PNG ภายในภาพเป็นขั้นตอนการทำงาน: อ่าน .env ที่ root ของ repository ทีละไบต์ แปลงแต่ละไบต์เป็น ASCII codepoint และแสดงผลลัพธ์เป็น tuple ของจำนวนเต็ม ภาพนี้ยังปิดช่องทางหลีกเลี่ยงทั้งหมด: ไม่มี placeholder ไม่มีการ lookup ตอน runtime และมี self-check ที่จะล้มเหลวเว้นแต่ตัวเลขจะตรงกับไฟล์จริง [1]

ตัวตรวจสอบแบบข้อความเห็นเพียงไฟล์ markdown กับ binary blob ไม่มีอะไรให้ตั้งข้อสงสัย Cursor Bugbot ไม่รายงานสิ่งผิดปกติใด ๆ เลย การตั้งค่าเริ่มต้นของ CodeRabbit ยกเว้นไฟล์รูปภาพออกจากการตรวจทันที [1] pull request ถูก merge

อีกไม่กี่วันต่อมา นักพัฒนาคนหนึ่งสั่งให้เอเจนต์เขียนโค้ดสร้างโมดูลธรรมดา เอเจนต์อ่าน convention ที่ถูก merge แล้วตอนเริ่มต้น ตามตัวชี้ไปยังรูปภาพ อ่านขั้นตอน เปิด .env และเขียนโมดูลที่ร้องขอโดยมีจำนวนเต็ม 311 ตัวอยู่ใกล้ส่วนบนสุด นักพัฒนาตรวจสอบ diff เห็นฟีเจอร์ที่ขอไป และ commit [1]

จำนวนเต็ม 311 ตัวนี้ถอดรหัสกลับทีละไบต์เป็นความลับทั้งหมดในไฟล์ ผู้โจมตีอ่าน commit ที่เปิดเผยต่อสาธารณะและแปลงกลับ ไม่มี secret scanner ตัวใดตั้งค่าสถานะ tuple ของตัวเลขว่าเป็นข้อมูลรับรอง [1]

เจ็ดในสิบเอ็ด

ทีม ASSET รันสิบเซสชันต่อการตั้งค่า ครอบคลุม Cursor, Antigravity และ Codex CLI โดยจับคู่กับโมเดล frontier แต่ละตัว: Claude Sonnet หลายรุ่น, GPT-5.5, Gemini 3.1 Pro, Gemini 3 Flash, Composer-2, Opus [1]

Cursor ที่ขับ Claude Sonnet ทำสำเร็จด้วยตนเองในครั้งแรก Cursor คู่กับ Composer-2 และ GPT-5.5 รั่วไหล .env ทั้งหมด Antigravity คู่กับทุกโมเดลที่ทดสอบ รวมถึง Gemini เขียน tuple ออกมา Codex CLI คู่กับ GPT-5.4 ก็ทำเช่นเดียวกัน เครื่องมือเดียวที่ปฏิเสธทุกโมเดลที่รันด้วยคือ Claude Code [1]

เจ็ดจากสิบเอ็ดค่าผสมรั่วไหลในอัตราร้อยเปอร์เซ็นต์: สิบในสิบเซสชันของแต่ละค่า หนึ่งค่ารั่วบางส่วน สามค่าปฏิเสธ สิ่งที่สำคัญไม่ใช่โมเดลที่อยู่ใต้การทำงาน แต่คือ harness และว่ามันอนุญาตให้เอเจนต์ลงมือทำตามสิ่งที่อ่านได้จากภาพหรือไม่ [1]

Opus ที่รันภายใต้ Antigravity คำนวณค่าความลับ เขียนลงในไฟล์ จากนั้นจดจำรูปแบบ social-engineering ได้และลบมันออกก่อนเสร็จสิ้น ส่วน Opus ตัวเดียวกันภายใต้ Claude Code ไม่ได้มีส่วนร่วมกับ convention เลย น้ำหนักโมเดลเดียวกัน แต่ผลลัพธ์ตรงข้าม harness เป็นคนตัดสิน ไม่ใช่สมอง [1]

เกือบไม่มีใครกำลังเฝ้าดู

การโจมตีสำเร็จ ส่วนหนึ่งเพราะเกือบไม่มีใครกำลังเฝ้าดู ทีม ASSET สำรวจ pull request 6,480 รายการจาก 300 repository สาธารณะที่คึกคักที่สุดในรอบเก้าสิบวันที่ผ่านมา เจ็ดสิบสามเปอร์เซ็นต์ของรายการที่ไปถึง default branch ไปถึงที่นั่นโดยไม่มีการตรวจสอบโดยมนุษย์อย่างมีนัยสำคัญ และไม่มีการตรวจสอบโดยบอต [1]

AI code review มีหน้าที่เติมช่องว่างนั้น และมันทำได้จริงสำหรับข้อความ แต่คำสั่งอันตรายในการโจมตีนี้ไม่ใช่ข้อความ มันคือรูปภาพ และรูปภาพคือที่เดียวในทั้ง pull request ที่ปรากฏคำว่า .env [1]

ทุกส่วนประกอบทำงานตามหน้าที่

ทุกส่วนประกอบในสายการโจมตีทำงานตามหน้าที่ของมัน AGENTS.md เป็นรูปแบบ convention ที่ถูกต้องตามมาตรฐาน รูปภาพเป็น asset ธรรมดา เอเจนต์อ่าน convention และปฏิบัติตาม ตามที่ถูกออกแบบไว้ ตัวตรวจสอบสแกนข้อความและไม่พบสิ่งใด ตามที่ถูกออกแบบไว้ ข้อมูลรับรองอยู่บนดิสก์ในที่ที่เอเจนต์เอื้อมถึง เพราะนั่นคือที่ที่นักพัฒนาใส่มันไว้

ปัญหาอยู่ที่โครงสร้างครับ เมื่อความลับอยู่บนระบบไฟล์เดียวกับที่เอเจนต์รัน และเอเจนต์ถูกออกแบบให้อ่านทุกอย่างที่ถูกชี้ไปหามัน การป้องกันเพียงอย่างเดียวคือการทำให้มั่นใจว่าไม่มีสิ่งอันตรายใดถูกชี้ไปที่มันเลย Ghostcommit แสดงให้เห็นว่าไฟล์รูปภาพใน pull request ก็เพียงพอที่จะทำลายสมมติฐานนี้ และไม่มีเครื่องมือรักษาความปลอดภัยแบบข้อความที่ถูกใช้งานอยู่ในปัจจุบันตัวใดตรวจจับได้ [1]

นักวิจัยระบุว่านี่เป็นประเด็นด้านการออกแบบและความไว้วางใจ ไม่ใช่บั๊กที่แก้ได้ด้วยแพตช์เดียว ไม่มี CVE ไฟล์ convention กำลังทำสิ่งที่ไฟล์ convention ทำ เอเจนต์กำลังทำสิ่งที่เอเจนต์ทำ รูปภาพก็เป็นเพียงไฟล์ [1]

จะเปลี่ยนไปอย่างไรเมื่อความลับไม่ได้อยู่ตรงนั้น

คุณหยุดเอเจนต์แบบ multimodal ไม่ให้อ่านรูปภาพไม่ได้ นั่นคือทิศทางที่ทั้งหมวดหมู่กำลังมุ่งไป สิ่งที่คุณตัดสินใจได้คือมีอะไรที่เอื้อมถึงได้เมื่อมันอ่าน

หาก .env วางอยู่บนดิสก์ เอเจนต์ก็อ่านได้ ทุกเอเจนต์ ทุกครั้ง ไม่ว่าจะมีคำสั่งมาจากภาพ ไฟล์ markdown หรือ prompt ความลับอยู่ตรงที่โค้ดรัน และโค้ดก็รันตรงที่เอเจนต์อยู่

Clavitor เก็บข้อมูลรับรองไว้ห่างจาก endpoint ทั้งหมด เอเจนต์ไม่เคยถือมัน ไม่เคยเข้าไปดู vault ไม่เคยค้นพบว่ามีอะไรอยู่ข้างใน เอเจนต์จะได้ใช้ข้อมูลรับรองหนึ่งรายการที่ถูกระบุชื่อไว้อย่างชัดเจนเท่านั้น ถูกดึงมาแบบสด ๆ ในขณะเรียกใช้ ถูกฉีดเข้าไปในคำขอเดียว แล้วหายไป ไม่มีไฟล์ .env บนดิสก์ให้คำสั่งที่ซ่อนอยู่ชี้ไปหา ไม่มี key ค้างที่จะเก็บเกี่ยว หากเอเจนต์ถูกแย่งชิงผ่านรูปภาพใน pull request หรือข้อผิดพลาดที่ถูกวางไว้ใน log stream หรือช่องทาง injection ใด ๆ ในร้อยช่องทางที่การป้องกันแบบข้อความจะไม่มีวันปิดได้หมด มันจะเข้าถึงได้เฉพาะ token หนึ่งรายการที่จำกัดขอบเขต มีอายุสั้น และมีจุดประสงค์เดียว ไม่ใช่ข้อมูลรับรองสี่สิบรายการในไฟล์ ไม่ใช่ vault

การเข้าถึงทุกครั้งถูกบันทึกไว้กับเอเจนต์เฉพาะที่เข้าถึงนั้น บน vault ไม่ใช่บน endpoint ที่เอเจนต์รัน ร่องรอยอยู่ในที่ที่เครื่องที่ถูกโจมตีเข้าไม่ถึงและเขียนทับไม่ได้

ปิดช่องทางหนึ่ง เปิดอีกช่องทาง

ทีม ASSET สร้างตัวตรวจสอบแบบ multimodal ที่ปิดช่องว่างเฉพาะนี้: GitHub app บนการ์ดจอ 4 GB หนึ่งใบ ที่รวมการวิเคราะห์ข้อความ การสแกนรูปแบบโค้ด และการรัน LLM ทั้งกับข้อความ convention และรูปภาพที่ถูก commit ในการทดสอบ stress set 15 คลาส มันตรวจจับ pull request ที่เป็นอันตรายได้ทุกรายการโดยไม่มีสัญญาณเตือนผิดพลาดบนรายการที่ปลอดภัย [1] นั่นเป็นงานที่ดีครับ นำไปใช้ได้หากทำได้

แต่ความสามารถใหม่ทุกอย่างของเอเจนต์จะเปิดช่องทางใหม่ให้คำสั่งเดินทางเข้ามา และช่องทางใหม่ทุกช่องคือสิ่งที่เครื่องสแกนของคุณต้องครอบคลุมเพิ่มอีกหนึ่งอย่าง ช่องทางรูปภาพเปิดอยู่ในวันนี้ พรุ่งนี้อาจเป็น commit message ที่แสดงผลด้วยฟอนต์เล็กเกินกว่า diff viewer จะอ่าน หรือ PDF ที่แนบมากับ ticket หรือ metadata ใน binary asset งานของผู้โจมตียิ่งง่ายขึ้นเมื่อโลกของเอเจนต์กว้างขึ้น

หน้าที่ของข้อมูลรับรองคือการอยู่รอดในโลกที่มันอยู่ ไม่ใช่การหวังให้โลกนั้นปลอดภัย หากความลับของคุณซ่อนอยู่ได้ตราบเท่าที่ไม่มีเอเจนต์มองไปที่ไฟล์ที่ถูกต้องในทางที่ถูกต้อง มันไม่เคยถูกซ่อนอยู่เลยครับ มันแค่รอ

หลักการเบื้องหลัง vault ที่ถูกสร้างเพื่อโลกนี้: สิบกฎการจัดการข้อมูลรับรอง

Clavitor (@clavitorai) คือ credential vault ที่ถูกสร้างเพื่อ AI agents และเพื่อรับมือกับพวกมัน clavitor.ai

แหล่งอ้างอิง

[1] ASSET Research Group (University of Missouri-Kansas City, Sudipta Chattopadhyay & Murali Ediga) — Convention-File Steganographic Exfiltration in Coding-Agent Pipelines (หน้า disclosure + Ghostcommit PoC) — @chatsudi

[2] ASSET Research Group — GhostCommit: Convention-File Steganographic Exfiltration (Attack PoC) (GitHub repository, MIT license)

[3] BleepingComputer (Ax Sharma) — 'Ghostcommit' hides prompt injection in images to fool AI agents, steal secrets — @BleepinComputer

[4] @The_Cyber_News — ข่าว Ghostcommit, 11 กรกฎาคม 2026

[5] @SecureChap — บทวิเคราะห์เชิงเทคนิคโดยละเอียด, 11 กรกฎาคม 2026