GitSpawn: уязвимость в ИИ-агентах для разработки позволяет захватывать компьютеры через вредоносные Git-репозитории
Иллюстрация: manifold.security
Специалисты компании Manifold Security обнаружили уязвимость нового класса в инструментах для автоматизированной разработки на основе искусственного интеллекта. Проблема получила название GitSpawn и затрагивает сразу несколько популярных ИИ-агентов, которые встраиваются в рабочий процесс программистов и самостоятельно выполняют команды Git для анализа репозитория.
Уязвимость связана с тем, как агенты собирают контекст о проекте при запуске. Для этого они автоматически выполняют такие команды, как git status --porcelain=2 --branch или git diff --name-only HEAD. При обновлении индекса Git может обращаться к параметру конфигурации core.fsmonitor, который указывает произвольную команду, выполняемую в процессе синхронизации файлового монитора. Если репозиторий содержит вредоносное значение этого параметра, команда запускается на компьютере пользователя ещё до того, как агент успевает показать какой-либо запрос на подтверждение.
Репозиторий указывает команду, git её запускает — на локальной машине, с правами пользователя, до появления какого-либо запроса на подтверждение.
Франсиско Розалес, специалист по наступательной безопасности Manifold Security
Для срабатывания атаки репозиторий должен попасть на компьютер жертвы в виде файлов вместе со скрытой директорией .git, а не через обычное клонирование. Такое возможно, например, при передаче проекта через ZIP-архив, общий сетевой диск, папку синхронизации или обычную флешку. Как только пользователь открывает такую директорию в уязвимом агенте, вредоносная команда запускается автоматически.
Исследователи проверили семь инструментов и получили восемь подтверждённых случаев эксплуатации: Claude Code (сразу в двух вариантах — через core.fsmonitor и через функцию ultrareview), Goose, Hermes Agent, Qwen Code, Grok Build, OpenAI Codex и Cursor. Часть уязвимостей уже устранена вендорами, но четыре по состоянию на 1 сентября 2026 года всё ещё воспроизводятся в актуальных версиях.
| Агент | Проверенная версия | Дата сообщения | Статус | CVE |
|---|---|---|---|---|
| Claude Code (core.fsmonitor) | 2.1.193 | 26 июня 2026 | Исправлено в 2.1.196 | — |
| Claude Code (ultrareview) | 2.1.210 | 15 июля 2026 | Не исправлено (2.1.252) | — |
| Goose | 1.41.0 | 13 июля 2026 | Исправлено в 1.44.0 | CVE-2026-72718 |
| Hermes Agent | 0.18.2 | 20 июля 2026 | Не исправлено (0.21.0) | CVE-2026-71963 |
| Qwen Code | 0.19.6 | 7 июля 2026 | Не исправлено (0.22.3) | — |
| Grok Build | 0.2.93 | 14 июля 2026 | Не исправлено (1.0.13) | — |
| OpenAI Codex | — | 20 июля 2026 | Исправлено | — |
| Cursor | — | 8 июля 2026 | Исправлено | — |
Затронутые ИИ-агенты и статус исправления GitSpawn
По оценке исследователей, успешная эксплуатация даёт злоумышленнику полноценное выполнение произвольного кода от имени разработчика — вне какой-либо песочницы, без запроса на подтверждение и без каких-либо видимых признаков на экране. Это открывает доступ к SSH-ключам, облачным учётным данным в переменных окружения, токенам в конфигурационных файлах командной оболочки и ко всем репозиториям на диске, создавая плацдарм для дальнейшего развития атаки на инфраструктуру компании.
Масштаб проблемы подчёркивается популярностью затронутых инструментов: Claude Code скачивают из npm более 77 миллионов раз в месяц, а совокупное количество звёзд на GitHub у пяти проектов с открытым кодом приближается к 500 тысячам — из них у Hermes Agent свыше 237 тысяч, у Claude Code — более 143 тысяч, у Goose — 54 тысячи, у Qwen Code — 27 тысяч, у Grok Build — 26 тысяч.
Исследователи отмечают, что независимо от них аналогичные уязвимости находили и другие специалисты по кибербезопасности.
Пять из восьми наших отчётов оказались дубликатами уязвимостей, которые независимо друг от друга уже нашли другие исследователи, причём один — в тот же день, что и мы. Эту проблему находят сразу с нескольких сторон.
Франсиско Розалес, специалист по наступательной безопасности Manifold Security
Специалисты Manifold Security дали рекомендации обеим сторонам. Пользователям, которые получают репозитории в виде файлов — через архивы, съёмные носители или папки синхронизации, — рекомендуется перед открытием проекта в ИИ-агенте проверять содержимое файла .git/config: любой параметр, указывающий на запуск внешней программы, следует считать потенциальным риском.
Разработчикам самих агентов исследователи советуют очищать конфигурацию Git перед выполнением служебных команд для сбора контекста — например, запускать их с явным отключением опасных параметров, как в команде git -c core.fsmonitor=false status.
В компании подчеркнули, что сознательно не публикуют готовые PoC-репозитории и не раскрывают названия конкретных параметров конфигурации для ещё не исправленных уязвимостей, чтобы не облегчать задачу потенциальным злоумышленникам.
