Las configuraciones maliciosas de .git pueden hacer que Claude, Codex, Cursor y otros agentes de IA ejecuten código del atacante

Ma­ni­fold Se­cu­rity re­ve­ló fa­llas de se­gu­ri­dad en múl­ti­ples agen­tes de pro­gra­ma­ción de in­te­li­gen­cia ar­ti­fi­cial me­dian­te las cua­les la con­fi­gu­ra­ción de Git de un re­po­si­to­rio puede or­de­nar al agen­te que eje­cu­te co­man­dos en la compu­tado­ra del de­sa­rro­lla­dor. El co­man­do se pro­ce­sa con los pri­vi­le­gios del usua­rio, sin re­que­rir apro­ba­ción y fuera del en­torno ais­la­do del agen­te, re­qui­rien­do para su ex­plo­ta­ción que el re­po­si­to­rio se re­ci­ba como ar­chi­vos con su di­rec­to­rio .git in­tac­to a tra­vés de me­dios como uni­da­des USB, car­pe­tas de sin­cro­ni­za­ción o ar­chi­vos com­par­ti­dos.

El pro­ble­ma ra­di­ca en el uso de la con­fi­gu­ra­ción de ren­di­mien­to `core.fs­mo­ni­tor` de Git, la cual in­di­ca un co­man­do que se eje­cu­ta de forma au­to­má­ti­ca en se­gun­do plano al ac­tua­li­zar el ín­di­ce —por ejem­plo, me­dian­te `git sta­tus` o `git diff`— para iden­ti­fi­car ar­chi­vos mo­di­fi­ca­dos. Agen­tes como Clau­de Code, Her­mes Agent, Qwen Code y Grok Build lle­ga­ron a eje­cu­tar co­man­dos de­fi­ni­dos en el re­po­si­to­rio antes de que el usua­rio acep­ta­ra men­sa­jes de con­fian­za o com­ple­ta­ra la au­ten­ti­ca­ción.

Se han im­ple­men­ta­do co­rrec­cio­nes para he­rra­mien­tas como goose, Clau­de Code y Cur­sor, mien­tras que ver­sio­nes de Her­mes Agent, Qwen Code, Grok Build y una ruta se­cun­da­ria en Clau­de Code con­ti­nua­ban eje­cu­tan­do co­man­dos en prue­bas re­cien­tes. Por su parte, Ope­nAI emi­tió CVEs pro­pios para cu­brir esta misma ca­te­go­ría de vul­ne­ra­bi­li­dad en Codex, y otras or­ga­ni­za­cio­nes han do­cu­men­ta­do pro­ble­mas si­mi­la­res en en­tor­nos de de­sa­rro­llo an­te­rio­res.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las me­di­das de mi­ti­ga­ción es­pe­cí­fi­cas im­ple­men­ta­das por cada pro­vee­dor para todos los agen­tes men­cio­na­dos, más allá de las re­co­men­da­cio­nes ge­ne­ra­les de ins­pec­cio­nar la con­fi­gu­ra­ción de Git y des­ac­ti­var la fun­ción `core.fs­mo­ni­tor` por de­fec­to.