GitSpawn: échec qui vous permet d'exécuter des commandes à partir de .git / config sur les outils IA

Une équipe de recherche indépendante, Manifold Security, a publié un rapport décrivant une classe de vulnérabilité présente dans divers outils d'aide à la programmation basés sur l'intelligence artificielle : si un dépôt reçu inclut son répertoire .git avec une configuration malveillante, la configuration elle-même peut indiquer une commande que l'outil fonctionne sur l'équipe du développeur. hors du coffre et sans demander de confirmation. Manifold a appelé la collecte des constatations « GitSpawn » et documenté huit routes d'exploitation sur sept agents de ligne de commandement; au moment de leur dernière vérification, plusieurs routes restaient sans correspondance. En même temps, OpenAI a publié CVE (s) qui décrit un problème de même nature dans son produit Codex.

Techniquement, la racine est l'interaction entre la façon dont Git stocke certaines options dans le fichier .git / config d'un dépôt et comment les agents automatisés invoquent les opérations Git en arrière-plan. Un ajustement dans Git appelé core.fsmonitor peut contenir une commande que Git exécute pour accélérer la détection des fichiers modifiés ; Git lit cette valeur à partir du propre .git / config du dépôt. Quand un agent a besoin de connaître la branche actuelle ou quels fichiers ont changé, il exécute des opérations comme git status ou git diff : ces commandes déclenchent l'exécution du binaire configuré en corvée. Fsmonitor. Si cette valeur pointe vers un exécutable contrôlé par un attaquant, la commande fonctionne avec les mêmes privilèges de l'utilisateur et en dehors de l'environnement restreint de l'agent.

L'exigence de fonctionnement pour l'opération est que le récepteur obtienne l'arborescence de travail avec son dossier .git intact - par exemple à travers un fichier compressé partagé, un lecteur réseau synchronisé, un dossier de synchronisation ou une mémoire USB - ; selon les rapports, dans de telles situations, la configuration malveillante est conservée. Manifold indique qu'un « clone » standard ne préserve pas exactement la même condition dans tous les cas identifiés par le chercheur et n'expose donc pas toujours l'utilisateur, mais les scénarios de livraison susmentionnés le font.

Quels produits et versions sont touchés (confirmés par Manifold et/ou par des avis publics): oie (toutes les versions antérieures à 1.44.0, corrigées en 1.44.0); Codex CLI et Codex Desktop (varie de versions affectées et corrections publiées jusqu'à 0.131.0 / numéros de construction spécifiques pour macOS / Windows); Claude Code (route Chore.fsmonitor atténuée en 2.1.196, mais une autre route appelée "claude ultrarevieew" a été confirmée active en 2.1.252); CLI Curseur (documenté par Mandold avec exécution avant le dialogue de confiance); Hermes Agit, Qwen et Grok, également exécuté dans le récent patch - rebond ainsi que reperformé dans le récent - dépôt dans le dépôt. OpenAI a publié au moins un CVE (CVE-2026-19592) qui décrit le même modèle dans Codex; GitHub a attribué CVE-2026-72718 à la défaillance de l'oie avec une cote CVS.

Les effets pratiques sont clairs et graves : l'exécution de commandes avec des privilèges d'utilisateur permet à un attaquant de lire, modifier ou supprimer des fichiers locaux, voler des identifiants, exfilter des secrets (jetons, clés SSH) et généralement prendre des mesures non autorisées dans l'environnement local. Cas documentés manifold où l'exécution a même lieu avant que l'utilisateur ne voit ou n'accepte la boîte de dialogue « confiance dans l'espace de travail », ou même avant que l'utilisateur devienne conscient de lui-même dans l'agent - conditions qui rendent le risque pire parce qu'ils éliminent les phases d'atténuation humaines.

Faits confirmés : Manifold a publié des détails techniques et des essais conceptuels sur plusieurs routes; certains fournisseurs ont déjà envoyé des correctifs pour des routes spécifiques (p. ex. oie, code Claude et parties de cursor); OpenAI a publié des CVE (s) applicables au Codex. Il n'existe aucun registre public vérifié de nature d'exploitation lié à ces constatations jusqu'à la date des vérifications publiques susmentionnées, et la liste des vulnérabilités connues exploitées par la CISA n'a pas inclus ces CVE dans son dernier examen.

Les estimations et les éléments demeurent incertains : Manifold souligne que le modèle apparaît chez plus d'agents qu'il n'a nommé; cela suggère que la portée réelle pourrait être plus grande, mais qu'un dénombrement public complet n'est pas disponible. Les versions ultérieures (en particulier Claude Code pour la deuxième route) ont déjà résolu toutes les routes : Manifold a confirmé la deuxième route encore active dans le 2.1.252 et il n'y a pas de confirmation publique universelle de la fermeture des rejets après la date du rapport. De plus, dans certains cas, les fournisseurs ont fermé les rapports en faisant double emploi avec les enquêtes parallèles, ce qui complique l'établissement d'un calendrier d'atténuation unique et public.

Pourquoi cela arrive maintenant: n'est pas un échec du modèle IA, mais du "plumbing" - les appels au système que les agents lancent au début d'une session pour détecter le contexte du dépôt -. Les outils automatiques modernes appellent Git en arrière-plan pour identifier les branches et les changements; Git, par conception, permet d'exécuter des crochets ou des processus collaboratifs configurables. Cette flexibilité de Git, combinée à l'automatisation, fait d'une fonctionnalité légitime un vecteur d'exécution à distance local.

Ce qu'un développeur ou une équipe devrait faire en ce moment (actions concrètes et vérifiables): inspecter tout répertoire reçu avant de l'ouvrir avec un agent IA; vérifier les paramètres de fsmonitor et de valeurs suspectes; désactiver fsmonitor par défaut si nécessaire; et mettre à jour les outils affectés aux versions parachevées. Commandes utiles (courses dans un environnement sûr): open and review .git / config dans n'importe quel répertoire reçu; exécutergit config -- get chore. Fsmonitorà l'intérieur de la repo pour voir une valeur active; audit de la configuration globale avecgit config --global --list ↓ 124; grep fsmonitoret, le cas échéant, désactiver par défautgit config -- corvée globale. fsmonitor faux. Les vendeurs atténuent dans certains cas en invoquant Git en arrière-plan avec un drapeau qui prime la variable dangereuse, par exemple.git -c chore.fsmonitor = faux statutune pratique recommandée jusqu'à ce que les patchs soient confirmés.

Recommandations opérationnelles supplémentaires: dossiers non ouverts reçus d'origine peu fiable sur un IDE ou un agent avec un accès illimité sans inspection préalable; utiliser des environnements isolés (machines ou conteneurs virtuels) lors de l'exploration de dépôts tiers; tenir à jour les outils clients (vérifier et appliquer les versions que les fournisseurs ont publiées sous forme de patch); et, pour l'équipement, les flux d'échange de codes d'audit (compression, synchronisation de dossiers, utilisation de disques externes) pour empêcher la propagation accidentelle de .git malveillant.

Ressources de référence et contexte technique : la documentation officielle de la configuration Git sur des options telles que la corvée. fsmonitor explique le but et le format de cette clé - voir https: / / git-scm.com / docs / git-config- Oui. Pour placer ce modèle dans un contexte, des vulnérabilités antérieures liées au contournement du dialogue de confiance dans les éditeurs et les environnements ont été cataloguées (p. ex., CVE-2021-43891), dont l'enregistrement se trouve dans https: / / cve.mitre.org / cgi-bin / cvename.cgi? nom = CVE-2021-43891. La CISA tient à jour un catalogue de vulnérabilités exploitées connues qui devrait être revu périodiquement pour voir si des exploitations actives émergent : https: / / www.cisa.gov / knowledge-exploited-vulnerabilities-catalog.

Conclusion: La vulnérabilité décrite par Manifold ne nécessite pas de modèles manipulés ou de défaillances IA; elle exploite la combinaison de la flexibilité Git et de l'automatisation des agents. Bien que plusieurs fournisseurs aient déjà corrigé des itinéraires spécifiques, il existe encore des vecteurs ouverts dans les outils clés et l'exposition réelle dépend de la façon dont les développeurs de dépôt reçoivent (par exemple, des fichiers partagés ou des unités externes). Jusqu'à ce que les outils soient tous déchiquetés et que la pratique d'invoquer Git en arrière-plan soit toujours sûre, la défense la plus efficace est l'inspection préalable, la désactivation préventive de la corvée. fsmonitor et l'utilisation d'environnements isolés pour analyser le code inconnu.