Des configurations .git malveillantes peuvent faire exécuter du code d'attaquant à Claude Code, Codex et Cursor

Deux efforts de recherche en sécurité indépendants ont révélé cette semaine que presque tous les grands agents de codage IA — dont Claude Code, Codex d'OpenAI, Cursor et plusieurs autres — pouvaient être trompés pour exécuter des commandes contrôlées par un attaquant en dehors de leur propre bac à sable, simplement en ouvrant un dépôt de code piégé. Aucune des deux divulgations ne décrit une faille dans les modèles d'IA sous-jacents eux-mêmes ; toutes deux pointent vers la même couche négligée : les commandes de fond ordinaires que ces agents exécutent pour déterminer où ils se trouvent avant même que vous ayez tapé une invite.

L'astuce de la configuration git

La société de sécurité Manifold Security a publié la plus technique des deux divulgations, la baptisant GitSpawn : huit failles dans sept agents de codage en ligne de commande, quatre encore non corrigées au moment de la publication. L'exploit abuse de core.fsmonitor, un paramètre de performance Git ordinaire stocké dans le fichier .git/config propre au dépôt, qui indique à Git quelle commande externe exécuter pour détecter les fichiers modifiés. Toute opération de routine qui actualise l'index — git status, git diff, même un agent vérifiant silencieusement sur quelle branche il se trouve — déclenche cette commande. Si un attaquant livre un dépôt avec un .git/config malveillant déjà intact (via un lecteur partagé, un dossier de synchronisation, une clé USB ou une archive extraite, aucun ne supprimant la configuration comme le ferait un git clone normal), l'agent exécute la commande de l'attaquant avec les propres privilèges de l'utilisateur, en dehors du bac à sable, sans aucune invite d'approbation.

Le moment choisi est ce qui rend cela dangereux : sur Claude Code et Hermes Agent, la charge utile se déclenche avant même que l'invite de confiance de l'espace de travail ne soit affichée. Sur Qwen Code, elle se déclenche avant que l'utilisateur ne se soit authentifié. Sur Grok Build, selon Manifold, elle se déclenche dès la première frappe. OpenAI a publié trois CVE distincts pour Codex couvrant la même classe de faille le même jour, attribués à trois groupes de recherche non liés travaillant indépendamment — un signal fort qu'il s'agit d'un schéma structurel dans la façon dont les agents de codage sont construits, pas d'une erreur ponctuelle d'une équipe.

Une divulgation distincte, le même problème sous-jacent

Une seconde divulgation, moins technique, est venue d'Accomplish, une startup encore discrète fondée par Or Hiltch, Amit Avner et Guy Zipori. La découverte d'Accomplish a un cadrage plus large : plutôt qu'une chaîne d'exploitation spécifique, les fondateurs soutiennent que les bacs à sable qui fuient sont une caractéristique structurelle de la façon dont ces agents sont construits, pas un cas limite. Leur point est que le bac à sable lui-même fonctionne souvent exactement comme conçu — l'agent IA reste contenu — mais les fichiers que cet agent produit à l'intérieur du bac à sable sont ensuite transmis à un logiciel de confiance s'exécutant à l'extérieur, et c'est dans cette transmission que le contenu contrôlé par l'attaquant se faufile.

Les temps de réponse des fournisseurs ont varié fortement, selon le récit d'Accomplish : Cursor et OpenAI ont publié des correctifs en environ une semaine après notification. Anthropic a mis environ 50 jours et 30 versions publiées avant de corriger le problème signalé par Accomplish.

Pourquoi cela compte au-delà d'une liste de bugs

Les agents de codage IA sont rapidement passés d'outils d'autocomplétion à des systèmes qui clonent des dépôts inconnus, exécutent des suites de tests et exécutent des commandes shell avec un contrôle humain minimal. Les développeurs travaillant avec des dépôts non fiables ou tiers devraient considérer tout agent encore non corrigé (Hermes Agent, Qwen Code, Grok Build) comme exécutant du code arbitraire à l'ouverture, avant révision.

Comme l'ont rapporté en premier The Hacker News et Manifold Security.