Unverified50% confidenceFactExact time
Ghostcommit将恶意的自然语言指令隐藏在PNG图片的像素之中，而非隐藏可执行的恶意代码
1
Sources
50%
Confidence
Long-term
Relevance
7/15/2026
First Seen
Sources
Related Claims
UnverifiedGhostcommit是典型的间接提示词注入攻击，将注入载体从纯文本升级到图像像素层面78% similarUnverified需要透明背景PNG输出（如logo、贴纸、抠图角色）的场景，必须确认工具支持透明通道导出，仅支持JPG导出的工具无法满足68% similarUnverifiedGhostty由Zig语言编写，采用GPU加速渲染管线，在macOS上使用Metal图形API实现高效渲染66% similarUnverified恶意指令被渲染成文字绘制在PNG图片中，通过AI代理的OCR或视觉理解能力被识别并作为Prompt指令执行62% similarUnverified一位开发者的ThumbAPI在本地Mac上能成功生成图片，而在Hetzner生产环境上使用相同代码、密钥和提示词却静默失败并返回IMAGE_OTHER59% similar
Cite This Claim
Stable URI
https://kongchang.com/claim/514305API
curl https://kongchang.com/api/v1/knowledge/claims/514305MCP
get_claim(id=514305)