GitSpawn: как вредоносный .git/config обходит защиту Claude Code, Cursor и Codex через ZIP-архив

Коротко: GitSpawn — класс уязвимостей в AI-кодинг-агентах, при которых настройки файла .git/config (например, core.fsmonitor) используются как триггер выполнения кода. Атака работает, только если разработчик получает репозиторий в виде файлов — ZIP-архивом, с USB-носителя или по сетевому диску — а не клонирует его через git clone. Уязвимы Claude Code, Goose, Grok Build, Hermes Agent, Qwen Code, Codex и Cursor. Часть инструментов уже исправлена; Claude Code (вариант ultrareview), Hermes Agent, Qwen Code и Grok Build — нет.

Что произошло

1 сентября 2026 года Франсиско Росалес (Francisco Rosales), инженер по наступательной безопасности компании Manifold Security, опубликовал отчёт GitSpawn: A Single Flaw Lets Untrusted Repos Run Code in Claude Code, Codex, Cursor, and Grok. В нём описаны 8 уязвимостей в 7 инструментах для AI-разработки.

Суть проблемы: AI-агенты при старте собирают контекст рабочего каталога и для этого вызывают команды git — например, git status. Если репозиторий содержит специально подготовленный файл .git/config, некоторые его настройки воспринимаются git как команды для исполнения. Агент запускает их с привилегиями текущего пользователя — вне своей «песочницы» и без каких-либо диалогов одобрения.

В тот же день OpenAI независимо опубликовала три CVE, покрывающие идентичный класс уязвимостей в Codex — их прислали три разные исследовательские группы.

Как работает атака: файл конфигурации как оружие

Файл .git/config — стандартный текстовый конфиг-файл репозитория git. Он хранит параметры удалённых серверов, имя ветки и настройки поведения git. Часть этих параметров, в частности core.fsmonitor, задают внешние команды, которые git вызывает автоматически при определённых операциях.

Параметр core.fsmonitor — это хук файловой системы: git передаёт ему список изменённых файлов для ускорения работы в больших репозиториях. Злоумышленник подменяет значение этого параметра на произвольную команду оболочки. Когда AI-агент вызывает git status, git запускает указанную команду. Результат: произвольный код выполняется с правами разработчика, читает, изменяет или удаляет файлы, получает доступ к ключам и токенам в рабочем окружении.

Какие инструменты уязвимы

Manifold Security проверила семь AI-агентов. По состоянию на 1 сентября 2026 года статус исправлений следующий:

Особенно опасен Grok Build: по данным Manifold, выполнение кода происходило при первом нажатии клавиши в интерфейсе агента. У Qwen Code код запускался до аутентификации пользователя.

Вектор через ZIP, USB и сетевые диски

Для аудитории Loadfile особенно важен механизм доставки: атака работает именно через передачу репозитория как набора файлов, а не через git clone. Это делает уязвимость актуальной для повседневных рабочих сценариев:

• ZIP-архив с исходниками. Разработчик получает проект в виде ZIP-файла (по email, мессенджеру, корпоративному порталу), распаковывает его и открывает в агенте. Внутри архива — папка .git/ с вредоносным config.
• USB-носитель или внешний диск. Принести проект на флешке — распространённая практика в изолированных средах.
• Сетевой диск / облачный каталог. Синхронизированная папка в корпоративном хранилище, Google Drive или Dropbox может содержать .git/.

ZIP-архивы — потенциально опасный формат: они могут скрывать вредоносные структуры, которые срабатывают только после распаковки. GitSpawn — ещё один пример того, как безобидный на вид архив с исходным кодом может стать вектором атаки.

Что это значит для разработчика

Если вы работаете с AI-агентом (Claude Code, Cursor, Codex и другими) и регулярно открываете в нём проекты, полученные в виде ZIP-архивов или файловых копий, — убедитесь, что используете актуальную версию инструмента.

• Для Claude Code: обновитесь до версии выше 2.1.252 и следите за патчем для варианта ultrareview.
• Для Goose: обновитесь до 1.44.0 или новее.
• Для Hermes Agent, Qwen Code и Grok Build: официальных исправлений по состоянию на дату отчёта нет. Не открывайте в этих инструментах репозитории из недоверенных источников.

Дополнительная мера: перед открытием незнакомого проекта в AI-агенте проверьте содержимое файла .git/config на наличие строк fsmonitor, editor, pager с нестандартными значениями. Подробнее о практиках кибербезопасности в разработке — в нашем материале.

Git-хуки и атаки через конфигурационные файлы

GitSpawn — не первый случай, когда .git/-каталог используется как вектор. Ранее мы писали об атаке через CVE-2026-60004 в Gitea, где произвольный git-хук запускался с привилегиями сервиса. Принцип схожий: атакующий использует легитимный механизм git (хуки, fsmonitor, конфигурационные команды) для выполнения произвольного кода.

Принципиальное отличие GitSpawn — жертва не запускает git напрямую. Код выполняет AI-агент в момент, когда он собирает контекст рабочего каталога. Пользователь может даже не знать, что агент обращается к git в фоне.

Источники

• Manifold Security — GitSpawn: A Single Flaw Lets Untrusted Repos Run Code in Claude Code, Codex, Cursor, and Grok (1 сентября 2026)
• The Hacker News — Malicious .git Configs Can Make Claude, Codex, Cursor, and Other AI Agents Run Attacker Code

По теме: Безопасность веб-приложений — чек-лист уязвимостей и методов защиты для разработчиков.