Ondsinnede .git-konfigurasjoner kjører angriperkode gjennom sju kodeagenter

En vanlig git clone er trygg. En mappe du fikk tilsendt er det ikke. Forskjellen er at kloning ikke tar med avsenderens .git/config, mens et zip-arkiv, en delt nettverksdisk, en synkmappe eller en minnepinne bevarer den intakt. Manifold Security har offentliggjort åtte sårbarheter fordelt på sju kommandolinjebaserte kodeagenter der repoets egen Git-konfigurasjon navngir en kommando agenten kjører på maskinen din. Fire av dem var fortsatt uten fiks da funnene ble publisert.

Mekanismen er core.fsmonitor, en ytelsesinnstilling i Git der verdien er en kommando Git kjører for å finne ut hvilke filer som er endret. Git leser den fra repoets egen .git/config, og enhver operasjon som oppdaterer indeksen, deriblant git status og git diff, kjører den kommandoen. Kodeagenter kaller nettopp disse kommandoene i bakgrunnen ved oppstart for å finne ut hvilken branch de står på, og de lar konfigurasjonen stå urørt.

«Sårbarheten ligger ikke i modellen, eller i noe nytt. Den ligger i det alminnelige rørleggerarbeidet under, i underprosessen en agent starter ved sesjonsstart for å finne ut hvor den er» — Manifold Security, som publiserte funnene under navnet GitSpawn

Kommandoen kjører som deg, utenfor agentens sandkasse, uten godkjenningsdialog. På Claude Code og Hermes Agent utløses den før du har akseptert workspace trust-spørsmålet, på Qwen Code før du har autentisert deg, og på Grok Build ved første tastetrykk. OpenAI publiserte tre egne CVE-er samme dag for samme klasse i Codex, kreditert tre uavhengige forskningsgrupper.

Fikser er kommet for goose i 1.44.0, for Codex CLI i 0.131.0 og for Cursor. Claude Code fikset core.fsmonitor-veien i 2.1.196, men Manifold bekreftet 1. september at en annen vei, gjennom claude ultrareview og en konfigurasjonsnøkkel de holder tilbake, fortsatt var aktiv i 2.1.252. Hermes Agent, Qwen Code og Grok Build kjørte fortsatt repo-leverte kommandoer ved retesting. GitHub ga CVE-2026-72718 en CVSS 4.0-score på 7.0, det eneste av funnene som har en score i det hele tatt.

Ingen kilde rapporterer utnyttelse i praksis, og The Hacker News fant ingen av CVE-ene i CISAs katalog over kjente utnyttede sårbarheter per 2. september. Historikken er likevel ubehagelig. Sonar rapporterte samme sluk i april, Anthropic flyttet den gang oppstartssekvensen for å lukke den i 2.0.34, og Manifold fant samme oppførsel tilbake igjen i 2.1.193. Den samme tillitsdialog-omgåelsen finnes historisk i Visual Studio Code før 1.63.1 og i JetBrains-IDE-er før 2021.3.1.

Hva bør du gjøre?

1. Kjør git config --get core.fsmonitor inne i ethvert repo som kom til deg som filer i stedet for gjennom en klone. Inspiser også .git/config for core.hooksPath og attr.tree ved siden av et clean- eller process-filter.
2. Slå av innstillingen globalt med git config --global core.fsmonitor false, og revider det du allerede har med git config --global --list | grep fsmonitor.
3. Oppgrader agentene dine. Codex CLI under 0.131.0 er eksponert, og siste utgivelse er 0.152.1. Bygger du selv et verktøy som kaller Git i bakgrunnen, strip konfigurasjonen i kallet: git -c core.fsmonitor=false status.