GitSpawn: Fehler, mit dem Sie Befehle von .git / config auf IA-Tools ausführen können

Ein unabhängiges Forscherteam, Manifold Security, hat einen Bericht veröffentlicht, der eine Klasse von Schwachstellen beschreibt, die in verschiedenen Programmierassistenten auf Basis künstlicher Intelligenz vorhanden ist: Wenn ein empfangenes Repository sein .git-Verzeichnis mit einer bösartigen Konfiguration umfasst, kann die Konfiguration selbst einen Befehl anzeigen, den das Tool auf dem Entwicklerteam läuft. aus dem Safe und ohne nach Bestätigung zu fragen. Manifold nannte die Sammlung der Befunde "GitSpawn" und dokumentierte acht Betriebsrouten auf sieben Kommandozeilen-Agenten; zum Zeitpunkt ihrer letzten Überprüfung blieben mehrere Strecken frei. Gleichzeitig veröffentlichte OpenAI CVE (s), die ein Problem der gleichen Natur in seinem Codex-Produkt beschreiben.

Technisch ist die Wurzel die Interaktion zwischen, wie Git bestimmte Optionen in der .git / config Datei eines Repository speichert und wie automatisierte Agenten Git Operationen im Hintergrund anrufen. Eine Anpassung in Git genannt chore.fsmonitor kann einen Befehl enthalten, dass Git läuft, um die Erkennung von geänderten Dateien zu beschleunigen; Git liest diesen Wert aus dem eigenen .git / config des Projektarchivs. Wenn ein Agent den aktuellen Zweig kennen muss oder welche Dateien geändert haben, führt er Operationen wie git status oder git diff aus: Diese Befehle lösen die Ausführung des in chore konfigurierten Binärs aus. fsmonitor. Zeigt dieser Wert auf eine von einem Angreifer kontrollierte ausführbare, läuft der Befehl mit den gleichen Privilegien des Benutzers und außerhalb der eingeschränkten Umgebung des Agenten.

Die Betriebsvoraussetzung für den Betrieb ist, dass der Empfänger den Arbeitsbaum zusammen mit seinem .git-Ordner intakt erhält - beispielsweise durch eine gemeinsame komprimierte Datei, ein synchronisiertes Netzwerk-Laufwerk, einen Synchronisationsordner oder einen USB-Speicher -; gemäß Berichten wird in solchen Situationen die schädliche Konfiguration gehalten. Manifold weist darauf hin, dass eine Standard-"Klone" in allen vom Forscher identifizierten Fällen nicht exakt die gleiche Bedingung bewahrt und somit den Benutzer nicht immer freigibt, sondern die oben genannten Lieferszenarien.

Welche Produkte und Versionen betroffen sind (bestätigt von Manifold und / oder von öffentlichen Beratern): Gänse (alle Versionen vor 1.44.0, berichtigt in 1.44.0); Codex CLI und Codex Desktop (Bereich der betroffenen Versionen und Korrekturen veröffentlicht bis 0,131.0 / spezifische Baunummern für macOS / Windows); Claude Code (chore.fsmonitor route gemildert in 2.1.196, aber eine andere Route namens "claude ultrarevieew" wurde aktiv in 2.1.252) bestätigt; CLI Cursor (erstellt von Mandold mit Ausführung vor dem Vertrauensdialog); Hermes Agit, Qwen und Grok, auch ausgeführt in der letzten - Rebound-Patch und reperformed in der letzten - Repository im Repository. OpenAI veröffentlichte mindestens eine CVE (CVE-2026-19592), die das gleiche Muster in Codex beschreibt; GitHub zugewiesen CVE-2026-72718 dem Gänseausfall mit einer gemeldeten CVSS-Rating.

Die praktischen Effekte sind klar und schwer: Die Ausführung von Befehlen mit Benutzerrechten ermöglicht es einem Angreifer, lokale Dateien zu lesen, zu modifizieren oder zu löschen, Anmeldeinformationen zu stehlen, Exfilter-Geheimnisse (Token, SSH-Schlüssel) und in der Regel unbefugte Schritte in der lokalen Umgebung zu unternehmen. Manifold dokumentierte Fälle, in denen sogar die Ausführung erfolgt bevor der Benutzer den Dialog "Workspace Trust" sieht oder akzeptiert, oder sogar bevor der Benutzer sich im Agenten selbst bewusst wird - Bedingungen, die das Risiko verschlechtern, weil sie menschliche Minderungsphasen beseitigen.

Konfirmierte Fakten: Manifold hat technische Details und Konzepttests auf mehreren Strecken veröffentlicht; einige Lieferanten haben bereits Patches für bestimmte Routen gesendet (z.B. Gänse, Claude Code und Cursor Teile); OpenAI veröffentlicht CVE (s) für Codex. Es gibt keine verifizierten öffentlichen Aufzeichnungen über die Ausbeutung in der Natur, die mit diesen Feststellungen bis zum Datum der oben genannten öffentlichen Kontrollen verbunden sind, und die Liste der bekannten Schwachstellen, die von der CISA ausgebeutet wurden, enthielt diese CVE nicht in ihrer letzten Überprüfung.

Schätzungen und noch unsichere Elemente: Manifold weist darauf hin, dass das Muster in mehr Agenten erscheint als er benannt hat; das deutet darauf hin, dass der tatsächliche Umfang größer sein könnte, aber eine vollständige öffentliche Aufzählung ist nicht verfügbar. Es ist ungenau, auf welchen späteren Versionen (insbesondere Claude Code für die zweite Route) bereits alle Routen gelöst haben: Manifold bestätigte die zweite Route, die noch in der 2.1.252 aktiv war, und es gab keine allgemeine öffentliche Bestätigung der Schließung in Releases nach der Zeit des Berichts. Auch in einigen Fällen schlossen die Lieferanten Berichte als Duplikate paralleler Untersuchungen ab, die die Erstellung einer einzigartigen und öffentlichen Zeitlinie der Minderung erschwert.

Warum das jetzt geschieht: ist kein Ausfall des IA-Modells, sondern des "Plumbings" - die Anrufe an das System, das Agenten zu Beginn einer Sitzung starten, um Kontext des Projektarchivs zu erkennen -. Moderne automatische Werkzeuge rufen Git im Hintergrund auf, um Zweige und Veränderungen zu identifizieren; Git, durch Design, erlaubt, Haken oder konfigurierbare Zusammenarbeit Prozesse. Diese Flexibilität von Git, kombiniert mit Automatisierung, macht ein legitimes Merkmal ein lokales Remote-Ausführungsvektor.

Was ein Entwickler oder Team jetzt tun sollte (betonte und verifizierbare Aktionen): Inspizieren Sie jedes Verzeichnis, das vor dem Öffnen mit einem IA-Agent empfangen wurde; überprüfen Sie fsmonitor und verdächtige Werteeinstellungen; deaktivieren Sie fsmonitor standardmäßig, wenn nicht erforderlich; und aktualisieren Sie die betroffenen Tools auf die geparched Versionen. Nützliche Befehle (laufen in einer sicheren Umgebung): öffnen und überprüfen .git / config in jedem empfangenen Verzeichnis,git config --get chore. fsmonitorinnerhalb der Repo einen aktiven Wert zu sehen; Prüfung der globalen Konfiguration mitgit config --global --list ∞ 124; grep fsmonitorund gegebenenfalls standardmäßig mitgit config --global chore. fsmonitor false. Die Verkäufer mildern in einigen Fällen, indem sie Git im Hintergrund mit einer Flagge, die die gefährliche Variable überwiegt, z.git -c chore.fsmonitor = falscher Statuseine empfohlene Praxis, bis Patches bestätigt werden.

Zusätzliche operationelle Empfehlungen: keine offenen Ordner, die von unzuverlässiger Herkunft auf einem IDE oder Agent mit uneingeschränktem Zugriff ohne vorherige Inspektion erhalten wurden; verwenden Sie isolierte Umgebungen (virtuelle Maschinen oder Container) bei der Erkundung von Dritt-Repositorien; halten Sie aktuelle Kundentools (checken und anwenden Versionen, die Lieferanten als Patch veröffentlicht haben); und, für Geräte, Auditcode-Austauschflüsse (Druck, Ordnersynchronisation, Verwendung von externen Festplatten) zu verhindern versehentlich .gi

Referenzressourcen und technischer Kontext: die offizielle Dokumentation der Git-Konfiguration über Optionen wie Chore. fsmonitor erklärt den Zweck und das Format dieses Schlüssels - siehe https: / / git-scm.com / docs / git-config- Ja. Um dieses Muster in einem Hintergrund zu platzieren, wurden bisherige Schwachstellen im Zusammenhang mit der Umgehung des Vertrauensdialogs in Redakteure und Umgebungen katalogisiert (z.B. CVE-2021-43891), deren Aufzeichnung in https: / / cve.mitre.org / cgi-bin / cvename.cgi? Name = CVE-2021-43891. CISA unterhält einen Katalog bekannter ausgebeuteter Schwachstellen, die regelmäßig überprüft werden sollten, um zu sehen, ob aktive Betriebe entstehen: https: / / www.cisa.gov / Wissens-exploited-vulnerabilities-catalog.

Schlussfolgerung: Die von Manifold beschriebene Verwundbarkeit erfordert keine manipulierten Modelle oder IA-Versagen; sie nutzt die Kombination von Git Flexibilität und Agent Automation. Obwohl mehrere Anbieter bereits bestimmte Routen korrigiert haben, gibt es noch offene Vektoren in Schlüsselwerkzeugen und die tatsächliche Belichtung hängt davon ab, wie die Repository-Entwickler (z.B. geteilte Dateien oder externe Einheiten) erhalten. Bis die Werkzeuge alle geplatzt sind und die Praxis, Git im Hintergrund zu rufen ist konsequent sicher, die effektivste Verteidigung ist vor der Inspektion, vorbeugende Deaktivierung von Choreus. fsmonitor und die Verwendung isolierter Umgebungen zur Analyse unbekannter Codes.