AI RADAR

Понимать важнее,
чем успевать всё.

Выберите новость в ленте. Здесь будет удобно читать.

body{height:auto!important;overflow:auto!important}#app{display:none!important}.ssr-article{max-width:70ch;margin:0 auto;padding:32px 20px;font:18px/1.65 system-ui}.ssr-article p,.ssr-article li,.ssr-article blockquote{white-space:pre-line}AI Radar — лента

🔓 Семь AI-агентов выполнили чужой код при открытии папки — восемь уязвимостей нашли за раз

Manifold Security опубликовала исследование GitSpawn: восемь уязвимостей в семи AI-агентах позволяют выполнить произвольный код при открытии папки с файлами — без клонирования, без подтверждений.

Механика. Агенты автоматически запускают git status для сбора контекста — до workspace-trust промпта или аутентификации. При этом они читают git-конфиг репозитория. Настройка core.fsmonitor указывает команду, которая выполняется при обновлении индекса. Вредоносный репозиторий прописывает туда свой код, и тот исполняется при первом же вызове git — хоть от агента, хоть от make, CI-раннера или плагина редактора. Пользователю достаточно открыть папку.

Затронуты. Goose, Claude Code (Anthropic), Hermes Agent (NousResearch), Qwen Code (Alibaba), Grok Build (xAI), OpenAI Codex и Cursor. Четыре агента оставались непатчеными на момент публикации. Goose получил оценку CVSS 7.0 от мейнтейнеров, исправлен в версии 1.44.0. Claude Code закрыл основной путь в 2.1.196.

Патчи прикрывают конкретные вызовы git в существующих фичах агента. Но git-конфиг репозитория по-прежнему может выполнять команды — новая фича с новым вызовом git способна обойти патч. У Claude Code был и второй путь, не через fsmonitor, открытый до версии 2.1.252.

Что это значит: проблема не в баге агента, а в том, что git-конфиг репозитория вообще может исполнять код. Агенты станут безопаснее, но папка с вредоносным конфигом опасна и без них.

Оригинальная публикация в Telegram

Понимать важнее,
чем успевать всё.

Поиск по архиву

О проекте

Понимать важнее,чем успевать всё.

Понимать важнее,
чем успевать всё.