Вредоносный .git/config может заставить ИИ-агентов выполнить код на компьютере разработчика
Исследователи Manifold Security обнаружили уязвимости в CLI-агентах для программирования, включая Claude Code, Codex, Cursor, Qwen Code и Grok Build. Команда из конфигурации Git-репозитория способна запускаться с правами пользователя до запроса подтверждения или включения доверия к проекту.
Конфигурация Git внутри проекта может стать способом выполнить произвольный код на машине разработчика через ИИ-агентов для программирования. По данным Manifold Security, исследователи выявили восемь уязвимостей в семи таких инструментах: агенты запускают Git-команды для проверки состояния репозитория и при этом обрабатывают заданные в .git/config параметры без достаточной защиты.
В центре исследования, получившего название GitSpawn, — параметр Git core.fsmonitor. Он предназначен для ускорения определения изменённых файлов, однако его значение может содержать команду, которую Git выполнит при обновлении индекса. Операции вроде git status и git diff могут привести к запуску этой команды. ИИ-агенты вызывают такие операции в фоне, например чтобы определить текущую ветку и список изменённых файлов.
Если в .git/config записана вредоносная команда, она выполняется с правами текущего пользователя, вне песочницы агента и без отдельного запроса на подтверждение, утверждают исследователи. Такой код потенциально получает доступ к файлам и другим ресурсам, доступным учётной записи пользователя.
Для атаки репозиторий должен попасть к жертве вместе с каталогом .git. Обычный git clone этого не сохраняет, но структура может остаться нетронутой при передаче архива, через общую папку, папку синхронизации или USB-накопитель.
Manifold сообщает, что исправления уже вышли для goose, Claude Code и Cursor. В частности, путь с core.fsmonitor в Claude Code был подтверждён в версии 2.1.193 и, по данным исследователей, исправлен в 2.1.196. Однако 1 сентября они всё ещё воспроизводили другую проблему Claude Code через команду claude ultrareview в версии 2.1.252; исследователи не уточняют, устранена ли она в последующих сборках. В числе продуктов, где исправление на момент повторной проверки ещё ожидалось, названы Hermes Agent, Qwen Code и Grok Build.
Отдельно OpenAI в тот же день опубликовала три CVE для аналогичного класса проблем в Codex. В описании CVE-2026-19592 компания указала, что вспомогательный процесс запускается за пределами песочницы Codex и без запроса пользователю, позволяя выполнить контролируемый атакующим код с правами пользователя. Для Codex CLI уязвимыми названы версии с 0.102.0 по 0.130.0, исправление вышло в 0.131.0; также обновления получили настольные версии Codex для macOS и Windows.
Особенность обнаруженных сценариев — момент запуска. По данным Manifold, в Claude Code и Hermes Agent полезная нагрузка может сработать до подтверждения доверия к рабочей области, в Qwen Code — до авторизации пользователя, а в Grok Build — после первого нажатия клавиши. В goose выполнение возможно при запуске команды goose review ещё до обращения инструмента к модели.
Исследователи подчёркивают, что проблема связана не с поведением языковых моделей, а с обычными служебными процессами вокруг них: агент запускает Git для работы с репозиторием и тем самым наследует опасные настройки из его локальной конфигурации.