Il repository stesso aggira il sandbox degli agent AI
Manifold Security ha trovato otto vulnerabilità di Git config in sette CLI AI coding agent. Alla verifica del 1 settembre, quattro erano ancora non patchate. Goose, Claude Code e Cursor hanno già ricevuto fix; OpenAI ha pubblicato CVE correlate per Codex nella stessa classe di comando eseguito.
Il punto debole è nella .git/config del repository: una voce può nominare un comando e Git lo esegue per capire cosa è cambiato. Gli agent interrogano Git in background per stabilire branch e file modificati, e quel comando parte come l’utente, fuori dal sandbox e prima di ogni prompt di fiducia o approvazione. Un archivio, una copia su drive condiviso o una chiavetta con la directory .git intatta può quindi trasformare una semplice apertura in esecuzione locale di codice.
Per chi lavora su workstation di sviluppo, il confine di fiducia non è solo la provenienza del repo ma il file system che lo contiene. Hermes Agent, Qwen Code e Grok Build restavano esposti al retest, quindi un repository ricevuto fuori da un clone normale resta un canale operativo distinto dal traffico di rete.