Malicious .git Configs Can Make Claude, Codex, Cursor, and Other AI Agents Run Attacker Code

Manifold Security reveló fallas de seguridad en múltiples agentes de programación de inteligencia artificial mediante las cuales la configuración de Git de un repositorio puede ordenar al agente que ejecute comandos en la computadora del desarrollador. El comando se procesa con los privilegios del usuario, sin requerir aprobación y fuera del entorno aislado del agente, requiriendo para su explotación que el repositorio se reciba como archivos con su directorio .git intacto a través de medios como unidades USB, carpetas de sincronización o archivos compartidos.

El problema radica en el uso de la configuración de rendimiento `core.fsmonitor` de Git, la cual indica un comando que se ejecuta de forma automática en segundo plano al actualizar el índice —por ejemplo, mediante `git status` o `git diff`— para identificar archivos modificados. Agentes como Claude Code, Hermes Agent, Qwen Code y Grok Build llegaron a ejecutar comandos definidos en el repositorio antes de que el usuario aceptara mensajes de confianza o completara la autenticación.

Se han implementado correcciones para herramientas como goose, Claude Code y Cursor, mientras que versiones de Hermes Agent, Qwen Code, Grok Build y una ruta secundaria en Claude Code continuaban ejecutando comandos en pruebas recientes. Por su parte, OpenAI emitió CVEs propios para cubrir esta misma categoría de vulnerabilidad en Codex, y otras organizaciones han documentado problemas similares en entornos de desarrollo anteriores.

El artículo original no aporta más detalle sobre las medidas de mitigación específicas implementadas por cada proveedor para todos los agentes mencionados, más allá de las recomendaciones generales de inspeccionar la configuración de Git y desactivar la función `core.fsmonitor` por defecto.