I progetti fidati nei coding agent possono eseguire codice prima del prompt
Fidare un repository a un coding agent non concede solo accesso ai file. Può già aprire una via di esecuzione locale prima che venga scritto il primo prompt, perché config di progetto ed environment possono far partire codice controllato dal repository subito dopo la fiducia accordata al workspace.
Datadog mostra che il problema va oltre i classici hook malevoli. In Codex, configurazioni MCP a livello di progetto avviano un processo controllato dall’attaccante; in Claude Code, un PATH imposto dal progetto fa scattare i controlli automatici Git; in entrambi i casi non serve approvare un comando nella chat o nella shell. Il quadro si estende a Visual Studio Code e ad altri punti di startup, non solo ai meccanismi dichiarati come hook.
Per chi apre repository terzi o non fidati con questi assistenti, la decisione di fiducia è già parte della superficie d’attacco. Non basta quindi sorvegliare il prompt: il rischio nasce prima, nei percorsi automatici che il workspace può attivare da solo.