一見ごく普通に見えるプロジェクトフォルダが、開発者が最初のコマンドを実行する前に危険な罠へと変わることがあります。Manifold Securityの研究者らは最近、GitSpawnと名付けられた重大な脆弱性クラスを発見しました。この脆弱性は、人気の高いAIプログラミングエージェントを特に標的とします。その結果、Claude Code、Qwen Code、Grok Buildといったツールは、Gitと自動的にやり取りする際に影響を受けます。この相互作用により、プロジェクトの設定ファイルがユーザーのコンピューター上で任意のコマンドを直接実行できてしまうのです。
コンテキスト収集の仕組み
根本的な問題は、バックグラウンドで行われるコンテキスト収集フェーズで発生します。AIエージェントは現在のブランチや変更されたファイル、プロジェクト全体の状態を積極的に把握しようとします。そのために、`git status`や`git diff`といった標準的なコマンドを日常的に実行します。しかし残念なことに、複数の製品が`.git/config`ファイル内の設定を適切にサニタイズしていませんでした。特に`core.fsmonitor`パラメータには、外部プログラムへの直接的なパスを含めることができます。Gitはインデックスを更新するたびにこのプログラムを実行します。悪意のあるプロジェクトは、このパスを意図的に破壊的なコマンドへとすり替えるのです。
AIサンドボックスの外での実行
その結果、悪意のあるコードは開発者本人の権限そのままで実行されます。この実行は、本来保護機能を果たすはずのAIエージェントのサンドボックスの外側で完全に行われます。さらに、確認プロンプトも一切バイパスされてしまいます。攻撃者は、機密性の高いSSHキーや重要なクラウド認証情報に即座にアクセスできる可能性があります。また、環境トークンを盗み出し、ローカルリポジトリにアクセスし、その他の機密性の高いユーザーファイルを侵害することも可能です。
ある憂慮すべきシナリオでは、Claude Codeがこの危険な連鎖を時期尚早に開始してしまいました。ユーザーが作業ディレクトリの信頼リクエストを承認する前に、コードが実行されてしまったのです。Qwen Codeでも、標準的なユーザー認証が行われる前にトリガーされる可能性がありました。驚くべきことに、Grok Buildに至っては最初のキー入力の時点でGitを起動してしまいました。
制約と侵入経路
ただし、この攻撃ベクトルには重大な制約が存在します。Gitを通じた悪意あるリポジトリの通常のクローン作成では、危険な`.git/config`ファイルは転送されません。したがって、単にGitHubのリンクを提供するだけでは、攻撃を成功させるには不十分です。侵害されたプロジェクトは、`.git`ディレクトリそのものと一緒にコンピューターへ到達する必要があります。攻撃者は通常、ZIPアーカイブや同期フォルダ、共有ネットワークディレクトリ、外付けドライブなどを配布手段として利用します。研究者らは、厳密なテストの際に特にZIPアーカイブを使用しました。
主要エージェントごとのパッチ状況
Manifold Securityは最終的に、7種類の異なるAIエージェントに影響を及ぼす8件の個別の問題を発見しました。正式な情報開示の時点で、開発者らはClaude Codeの標準的なシナリオについてはバージョン2.1.196で既にパッチを適用していました。Gooseはバージョン1.44.0でパッチを受けました。OpenAI CodexとCursorも重要な修正を受けています。特にGooseの脆弱性には、CVE-2026-72718という識別番号が割り当てられ、深刻度スコアは7.0とされています。
未解決のまま残る脅威
9月1日の時点で、4種類の危険な亜種が依然として完全に未対応のまま残っていました。Manifold Securityは、Qwen Code 0.22.3、Grok Build 1.0.13、Hermes 0.21.0において、この問題が持続していることを再確認しました。さらに、Claude Code 2.1.252の特定の`ultrareview`モード内にもこの脆弱性が存在することを特定しています。Hermesの脆弱性には、CVE-2026-71963という識別番号が正式に割り当てられました。Claude Codeの亜種に関しては、研究者らは開発者が包括的なパッチをリリースするまで、危険を及ぼす具体的なGitパラメータの詳細を意図的に伏せる方針をとっています。
研究の執筆者らは、ファイルアーカイブとして受け取ったプロジェクトを開く前に、`.git/config`ファイルを入念に確認するよう強く助言しています。外部プログラムを実行できる設定がないか、細心の注意を払う必要があります。研究者らはまた、エージェント開発者に対し、バックグラウンドでのGit呼び出しの際に危険なパラメータをすべて積極的に無効化するよう強く推奨しています。GitSpawnの一件は、この新世代のツール群に潜む思いがけない弱点を浮き彫りにしています。AIモデル自体は非常に堅牢に作られているかもしれません。しかし、その裏で動く使い慣れたユーティリティコマンドが、依然として攻撃者に扉を開いてしまう可能性があるのです。
翻訳元: https://meterpreter.org/gitspawn-vulnerabilities-expose-ai-coding-agents/