Configurações .git maliciosas podem fazer Claude Code, Codex e Cursor executarem código de atacante

Dois esforços independentes de pesquisa em segurança revelaram esta semana que quase todos os principais agentes de codificação de IA — incluindo Claude Code, Codex da OpenAI, Cursor e vários outros — podiam ser enganados para executar comandos controlados por atacantes fora de seus próprios sandboxes, apenas abrindo um repositório de código armadilhado. Nenhuma das divulgações descreve uma falha nos próprios modelos de IA subjacentes; ambas apontam para a mesma camada negligenciada: os comandos de rotina em segundo plano que esses agentes executam para descobrir onde estão antes mesmo de você digitar um prompt.

O truque da configuração do git

A empresa de segurança Manifold Security publicou a mais técnica das duas divulgações, nomeando-a GitSpawn: oito falhas em sete agentes de codificação de linha de comando, quatro ainda não corrigidas na publicação. O exploit abusa do core.fsmonitor, uma configuração de desempenho comum do Git armazenada no próprio arquivo .git/config do repositório que informa ao Git qual comando externo executar para detectar arquivos alterados. Qualquer operação de rotina que atualize o índice — git status, git diff, até mesmo um agente verificando silenciosamente em qual branch está — dispara esse comando. Se um atacante distribuir um repositório com um .git/config malicioso já intacto (via drive compartilhado, pasta de sincronização, pendrive ou arquivo extraído, nenhum dos quais remove a configuração como um git clone normal faz), o agente executa o comando do atacante com os próprios privilégios do usuário, fora do sandbox, sem qualquer prompt de aprovação.

O momento é o que torna isso perigoso: no Claude Code e no Hermes Agent, a carga útil dispara antes mesmo do prompt de confiança do espaço de trabalho ser exibido. No Qwen Code, dispara antes mesmo de o usuário se autenticar. No Grok Build, segundo a Manifold, dispara na primeira tecla pressionada. A OpenAI publicou três CVEs separados para o Codex cobrindo a mesma classe de falha no mesmo dia, atribuídos a três grupos de pesquisa não relacionados trabalhando independentemente — um forte sinal de que se trata de um padrão estrutural em como os agentes de codificação são construídos, não um erro pontual de uma equipe.

Uma divulgação separada, o mesmo problema subjacente

Uma segunda divulgação, menos técnica, veio da Accomplish, uma startup ainda discreta fundada por Or Hiltch, Amit Avner e Guy Zipori. A descoberta da Accomplish tem um enquadramento mais amplo: em vez de uma cadeia de exploração específica, os fundadores argumentam que sandboxes com vazamentos são uma característica estrutural de como esses agentes são construídos, não um caso extremo. O ponto deles é que o próprio sandbox frequentemente funciona exatamente como projetado — o agente de IA permanece contido — mas os arquivos que esse agente produz dentro do sandbox são posteriormente entregues a software confiável executando fora dele, e é nessa entrega que o conteúdo controlado pelo atacante escapa.

Os tempos de resposta dos fornecedores variaram bastante, segundo o relato da Accomplish: Cursor e OpenAI lançaram correções em cerca de uma semana após a notificação. A Anthropic levou cerca de 50 dias e 30 versões lançadas antes de corrigir o problema que a Accomplish havia sinalizado.

Por que isso importa além de uma lista de bugs

Os agentes de codificação de IA passaram rapidamente de ferramentas de autocompletar para sistemas que clonam repositórios desconhecidos, executam suítes de teste e executam comandos shell com revisão humana mínima. Desenvolvedores que trabalham com repositórios não confiáveis ou de terceiros devem tratar qualquer um dos agentes ainda não corrigidos (Hermes Agent, Qwen Code, Grok Build) como executando código arbitrário ao abrir, antes da revisão.

Conforme relatado primeiro por The Hacker News e Manifold Security.