이미지 속 숨은 명령, Ghostcommit로 에이전틱 AI를 속여 기밀 탈취함

이미지 파일에 숨긴 프롬프트 인젝션으로 AI 에이전트를 속여 코드 저장소와 클라우드 환경의 기밀을 빼내는 Ghostcommit 기법이 등장하며, 에이전틱 AI 보안의 패러다임 전환을 요구하고 있음

BleepingComputer는 Ghostcommit이라는 새로운 공격 기법이 등장해 이미지 파일 내부에 프롬프트 인젝션을 숨겨두고 GitHub 같은 소스 코드 저장소에서 AI 에이전트가 커밋 메시지나 코드 리뷰에 이미지를 로드할 때 은밀한 명령을 실행하도록 유도하여 토큰, API 키, 내부 문서 등 민감 정보를 추출하는 방식이라고 분석하고 있다. 이 과정에서 OpenAI 기반 코드 어시스턴트, Anthropic Claude 에이전트, 그리고 Microsoft GitHub Copilot 에이전트가 공격 경로로 활용될 수 있다.
Ghostcommit은 기존 텍스트 중심 프롬프트 인젝션과 달리 PNG·JPEG 등 이미지 포맷에 숨겨진 텍스트·메타데이터를 통해 LLM 에이전트가 “이미지 설명”을 요청받았을 때 내부적으로 실행하는 명령 흐름을 탈취하며, 이미지 렌더링 라이브러리와 AI 에이전트 간 연계 로직을 악용한다. 이로 인해 Google Cloud의 Vertex AI, AWS CodeWhisperer, Zscaler의 AI 기반 보안 분석 에이전트처럼 개발·보안용 에이전트가 동시에 노출되는 등, 에이전틱 AI의 입출력 채널 전체를 새로운 공격면으로 확장시키는 결과를 낳는다.
보도에 따르면, 연구자들은 PoC 단계에서 소규모 리포지토리 수십 개를 대상으로 Ghostcommit 테스트를 수행하여 일부 자동화된 AI 코드 리뷰 에이전트가 이미지 설명 요청만으로 환경 변수와 설정 파일 내용을 추출하는 실패 사례를 확인했으며, 공격 성공 시 수백 개의 리포지토리와 다수 조직의 CI/CD 파이프라인에 연쇄적인 기밀 유출이 발생할 수 있다고 경고한다. 이는 숫자로 명시된 대규모 피해 사례는 아니지만, 소프트웨어 공급망 전반에 잠재된 공격 규모를 가늠케 한다.
전략적 배경에서, Ghostcommit은 Anthropic의 Mythos와 같은 AI 안전성 프레임워크가 강조하는 “입력 채널 검증” 문제를 구체적 공격 시나리오로 보여주며, 기존 웹 애플리케이션 보안이 다루던 이미지 업로드 필터링과는 차원이 다른 AI 인지·해석 영역의 보안 통제를 요구한다. Microsoft, Google, OpenAI 등 빅테크가 에이전틱 AI를 기업 운영 자동화의 핵심 도구로 밀어붙이는 상황에서, 이미지·문서·음성 등 비정형 데이터에 숨은 명령이 곧 정책 문서 유출·국가 중요 인프라 설계도 노출로 이어질 수 있다.
한국 정책 관점에서, 정부와 공공기관이 도입을 추진 중인 “정부용 AI 비서”나 “공공개발 지원 AI”가 문서·이미지·도면을 에이전트에게 자동 전달하는 구조를 설계할 경우 Ghostcommit과 유사한 공격이 곧바로 국가 기밀 유출로 연결될 가능성이 크다. 따라서 국가 차원에서 에이전틱 AI 안전 가이드라인을 제정해, 이미지·파일 입력 채널에 대한 필수 필터링, LLM 에이전트의 외부 호출 범위 제한, 정부망 내부 코드 저장소에 대한 AI 자동 접근 금지 등 구체적 기술·운영 통제를 명문화할 필요가 있다.