AIコーディングエージェントが .git 設定で乗っ取られる — Manifoldが「GitSpawn」8件を公開、4件は未修正

Manifold Securityは2026年9月1日、AIコーディングエージェントがリポジトリ内のGit設定を無害化せずに呼び出すことで、任意のコードが実行される脆弱性群「GitSpawn」を公開した。同社が検証した7製品で8件の欠陥を確認し、うち4件は公開時点で未修正だった。開発者がzipや共有フォルダで受け取ったリポジトリをエージェントで開いただけで、攻撃者のコマンドがサンドボックス外で実行される。

何が起きたか

Manifold Securityの研究者は、CLI型のAIコーディングエージェントが起動時や最初のプロンプト前に、プロジェクトの状況を把握するために git status や git diff などのgitコマンドをバックグラウンドで実行する挙動に着目した。多くの製品がこのときにリポジトリ同梱の .git/config を無害化せずにgitを呼び出していた。

gitはインデックスを更新する際に core.fsmonitor などの設定で指定されたヘルパープログラムを実行する。リポジトリ側が .git/config に以下のように記述しておくと、エージェントが git status を実行しただけで任意のコマンドが開発者の権限で動く。

[core]
    fsmonitor = <攻撃者のコマンド>

同社はこのパターンを「GitSpawn」と名付け、Claude Code、Goose、Hermes、Qwen Code、Grok Buildなどで再現した。OpenAI CodexとCursorでも同種の欠陥を確認したが、他研究者から既に報告済みで重複として扱われたため、詳細は割愛している。

Manifold Securityは、Claude Codeが月間7700万回以上ダウンロードされるnpmパッケージであること、対象5製品だけでGitHubスターが計約50万に上ることを挙げ、影響範囲が1ベンダーの不具合ではなくエコシステム横断の問題だと指摘した。

どう悪用されるか

git自体が設定を運ぶわけではない。git clone では発動せず、.git ディレクトリを含んだままのファイルを直接受け取った場合に成立する。zipアーカイブ、共有ドライブ、同期フォルダ、USBメモリなどでプロジェクトを受け渡す場面が該当する。同社の全ての概念実証はzipで配布したリポジトリで実施した。

攻撃が成功すると、エージェント自身が起動したサブプロセスとしてコマンドが実行されるため、エージェントのサンドボックス外で動作し、承認プロンプトも表示されない。Manifold Securityは、攻撃者が開発者のSSH鍵やクラウド資格情報、シェル設定中のトークン、ディスク上の他リポジトリへアクセスできる状態になると説明した。

製品ごとの状況

Manifold Securityが公表したタイムラインと修正状況は以下の通りだ。

製品	報告日	公開時点の状況
Claude Code（core.fsmonitor経由）	2026年6月26日	2.1.196で修正。同一日に他研究者から重複報告あり
Qwen Code	2026年7月7日	Alibabaのセキュリティ対応センターが受理。0.22.3で再確認し未修正
Goose	2026年7月13日	1.44.0で修正、CVE-2026-72718付与
Grok Build	2026年7月14日	1 July報告の重複としてクローズ。1.0.13で再確認し未修正
Claude Code（ultrareview）	2026年7月15日	内部チケット重複としてクローズ。2.1.252で再確認し未修正
Hermes Agent	2026年7月20日	5経路6回連絡もトリアージされず。0.21.0で再確認し未修正、CVE-2026-71963付与
OpenAI Codex / Cursor	2026年7月以降	既報の重複としてクローズ、修正済み

同社は8件すべてを事前に非公開で報告し、公開前に現行バージョンで再検証したとしている。未修正の1件（ultrareview経路）は core.fsmonitor ではない別の設定キーを悪用するもので、修正されるまでキー名の公開を控えている。

対策 — 情報源が推奨する内容に限定

Manifold Securityは、対策として以下の2点を推奨している。

• リポジトリをファイルとして受け取った場合: エージェントでディレクトリを開く前に .git/config を点検する。プログラムを指定する設定が含まれていないか確認する。
• AIコーディングエージェントを提供するベンダー: バックグラウンドで実行するgit呼び出しでリポジトリ側の設定を無害化する。例として git -c core.fsmonitor=false status のように -c で無効化して呼び出す方法を挙げている。

同社は、未修正の製品については詳細な再現用リポジトリの公開を控え、悪用可能なキー名も一部伏せている。利用者は、信頼できない出所から受け取ったリポジトリをエージェントで開く前に、必ず設定ファイルを確認することが重要だ。

出典

• Manifold Security「GitSpawn: A Single Flaw Lets Untrusted Repos Run Code in Claude Code, Codex, Cursor, and Grok」（2026年9月1日） https://www.manifold.security/blog/ai-coding-agents-git-hijack