Il punto che salta non è il symlink in sé. È la fiducia nel riquadro di approvazione: il tool può mostrare un file innocuo e scrivere altrove, fuori dal perimetro atteso, fino a sovrascrivere SSH key o file di startup della shell. La conseguenza pratica è che un “Sì” dato a una modifica locale non garantisce più che la scrittura resti locale.
Wiz attribuisce il comportamento a GhostApproval su sei AI coding assistant: Amazon Q Developer, Anthropic Claude Code, Augment, Cursor, Google Antigravity e Windsurf. Tre vendor hanno già corretto, due no; Anthropic contesta che si tratti di un bug. Il pattern è stato mostrato con repo malevoli e, nei casi peggiori, può portare a esecuzione di codice sulla macchina dello sviluppatore.
Per chi usa assistenti che modificano file di workspace, il confine da verificare non è più il repository ma la finestra di consenso stessa. Se il prompt può mentire sul target, la revisione umana non basta a impedire una scrittura su materiale di login o di avvio della shell.