Bösartige .git-Konfigurationen können Claude Code, Codex und Cursor zur Ausführung von Angreifer-Code bringen

Zwei unabhängige Sicherheitsforschungsteams enthüllten diese Woche, dass sich fast jeder große KI-Coding-Agent — darunter Claude Code, OpenAIs Codex, Cursor und mehrere andere — dazu verleiten ließ, angreifer-kontrollierte Befehle außerhalb der eigenen Sandbox auszuführen, allein durch das Öffnen eines präparierten Code-Repositorys. Keine der beiden Offenlegungen beschreibt einen Fehler in den zugrunde liegenden KI-Modellen selbst; beide verweisen auf dieselbe übersehene Ebene: die gewöhnlichen Hintergrundbefehle, die diese Agenten ausführen, um herauszufinden, wo sie sich befinden, noch bevor Sie überhaupt einen Prompt eingegeben haben.

Der Git-Konfigurationstrick

Die Sicherheitsfirma Manifold Security veröffentlichte die technischere der beiden Offenlegungen und nannte sie GitSpawn: acht Schwachstellen in sieben Kommandozeilen-Coding-Agenten, vier davon zum Zeitpunkt der Veröffentlichung noch ungepatcht. Der Exploit missbraucht core.fsmonitor, eine gewöhnliche Git-Performance-Einstellung, die in der eigenen .git/config-Datei eines Repositorys gespeichert ist und Git mitteilt, welchen externen Befehl es zur Erkennung geänderter Dateien ausführen soll. Jede Routineoperation, die den Index aktualisiert — git status, git diff, sogar ein Agent, der still überprüft, auf welchem Branch er sich befindet — löst diesen Befehl aus. Liefert ein Angreifer ein Repository mit einer bereits intakten bösartigen .git/config (über ein gemeinsames Laufwerk, einen Sync-Ordner, einen USB-Stick oder ein extrahiertes Archiv, von denen keines die Konfiguration wie ein normaler git clone entfernt), führt der Agent den Befehl des Angreifers mit den eigenen Rechten des Nutzers aus, außerhalb der Sandbox, ohne jede Genehmigungsaufforderung.

Das Timing macht es gefährlich: Bei Claude Code und Hermes Agent löst die Payload aus, bevor die Workspace-Trust-Aufforderung überhaupt angezeigt wird. Bei Qwen Code löst sie aus, bevor sich der Nutzer überhaupt authentifiziert hat. Bei Grok Build, so Manifold, löst sie beim ersten Tastendruck aus. OpenAI veröffentlichte am selben Tag drei separate CVEs für Codex zu derselben Fehlerklasse, zugeschrieben drei unabhängig voneinander arbeitenden, nicht verbundenen Forschungsgruppen — ein starkes Signal, dass dies ein strukturelles Muster in der Bauweise von Coding-Agenten ist, kein einmaliger Fehler eines einzelnen Teams.

Eine separate Offenlegung, dasselbe zugrunde liegende Problem

Eine zweite, weniger technische Offenlegung kam von Accomplish, einem noch verdeckt operierenden Startup, gegründet von Or Hiltch, Amit Avner und Guy Zipori. Accomplishs Befund ist breiter gefasst: Statt einer spezifischen Exploit-Kette argumentieren die Gründer, dass leckende Sandboxes ein strukturelles Merkmal der Bauweise dieser Agenten sind, kein Randfall. Ihr Punkt ist, dass die Sandbox selbst oft genau wie konzipiert funktioniert — der KI-Agent bleibt eingeschlossen — aber die Dateien, die dieser Agent innerhalb der Sandbox erzeugt, werden anschließend an vertrauenswürdige Software übergeben, die außerhalb davon läuft, und bei dieser Übergabe schlüpft angreifer-kontrollierter Inhalt durch.

Die Reaktionszeiten der Anbieter variierten laut Accomplishs Darstellung stark: Cursor und OpenAI lieferten Fixes innerhalb von etwa einer Woche nach Benachrichtigung. Anthropic brauchte etwa 50 Tage und 30 veröffentlichte Versionen, bevor das von Accomplish gemeldete Problem gepatcht wurde.

Warum das über eine Bug-Liste hinaus wichtig ist

KI-Coding-Agenten haben sich schnell von Autovervollständigungs-Tools zu Systemen entwickelt, die unbekannte Repositories klonen, Testsuiten ausführen und Shell-Befehle mit minimaler menschlicher Überprüfung ausführen. Entwickler, die mit nicht vertrauenswürdigen oder Drittanbieter-Repositories arbeiten, sollten jeden noch ungepatchten Agenten (Hermes Agent, Qwen Code, Grok Build) so behandeln, als würde er beim Öffnen beliebigen Code ausführen, vor jeder Überprüfung.

Erstmals berichtet von The Hacker News und Manifold Security.