恶意 .git 配置可让 Claude、Codex、Cursor 等 AI 编码代理执行攻击者代码
jedisct1 · x · 2026-09-03
Manifold Security 披露了七个命令行 AI 编码代理中的八个安全漏洞：仓库自带的 Git 配置（如 core.fsmonitor）可指定代理在开发者机器上执行的命令，命令以用户权限运行，绕过沙箱且无审批提示。发布时仍有四个漏洞未修复。
- 利用条件：仓库需以含完整 .git 目录的文件形式到达（共享压缩包、同步盘、U 盘均可），普通 git clone 不受影响
- 已修复：goose、Claude Code、Cursor
- 仍未修复：Hermes Agent、Qwen Code、Grok Build 及 Claude Code 的另一条路径，9 月 1 日复测时仍会执行仓库提供的命令
- 触发时机：Claude Code 和 Hermes Agent 在用户接受 workspace-trust 提示前即触发；Qwen Code 在用户认证前；Grok Build 在第一次按键时
- OpenAI 同日就 Codex 中同类问题发布三个 CVE，称该辅助进程在沙箱外以用户权限运行，可读写删除用户文件
开发者应避免通过非 clone 方式分发含 .git 目录的仓库。
所属事件:恶意 Git 配置漏洞可操纵 AI 编码代理执行代码(2 条相关)→
「编程与Agent」频道最新
- Anthropic 借鉴律师谈判伦理，Claude 智能体 69 人无人工批准成交 186 单 — rohanpaul_ai · 2026-10-18
- Agent 接管 Gmail 与浏览器后的投毒风险，及 jev-guard 防护做法 — sujingshen · 2026-10-18
- 14 个 Agent 在单卡 5090 上做 AI 电影:按反馈修复剪跳与配音缺陷 — developervkmp · 2026-10-18
- Meta 论文提出「Agent Plasticity」:最强 agent 未必是最高效学习者 — rohanpaul_ai · 2026-10-18
- 开发者用前沿模型一个周末上线山火预测平台 — CtrlAltDwayne · 2026-10-18
- 10 个让 AI Agent 操作手机的 GitHub 开源项目,最大 26K star — victor_explore · 2026-10-18