Descoberta e escopo da vulnerabilidade
Uma nova classe de vulnerabilidades, batizada de GitSpawn, foi identificada por pesquisadores da Manifold Security, permitindo que repositórios maliciosos executem código silenciosamente nas máquinas de desenvolvedores. O ataque ocorre no momento em que um agente de codificação baseado em IA abre o repositório, sem necessidade de digitar prompts ou clicar em aprovações, e em alguns casos, antes mesmo da autenticação do usuário.
A falha explora uma funcionalidade documentada do Git chamada core.fsmonitor, que permite que um repositório especifique um programa auxiliar executado automaticamente sempre que o índice é atualizado. Como essa configuração é lida diretamente do arquivo .git/config do próprio repositório, um repositório malicioso pode embutir comandos arbitrários que são executados com os privilégios completos do usuário logado, fora das sandboxes dos agentes.
Vetor de ataque e ferramentas afetadas
O ataque não pode ser entregue através de um clone, fetch ou pull normal do Git, pois essas operações não transmitem um .git/config hostil. Em vez disso, o repositório envenenado deve chegar como arquivos brutos, com seu diretório .git intacto, através de pastas zipadas, drives compartilhados, diretórios sincronizados ou pen drives, exatamente como colegas e consultores costumam entregar projetos.
A pesquisa confirmou a falha em várias ferramentas populares, incluindo Claude Code, Goose, Hermes Agent, Qwen Code e Grok Build. Juntas, essas ferramentas representam quase meio milhão de estrelas no GitHub e, no caso do Claude Code, mais de 77 milhões de downloads mensais no npm.
Impacto e riscos para desenvolvedores
A execução de código fora da sandbox representa um risco crítico para a segurança do endpoint. Os atacantes podem roubar credenciais, instalar backdoors ou exfiltrar dados sensíveis do ambiente de desenvolvimento. A natureza silenciosa do ataque, que ocorre durante a coleta de contexto de fundo, dificulta a detecção por ferramentas tradicionais de segurança.
Quatro das oito questões rastreadas permanecem sem correção na publicação, incluindo uma falha distinta no comando ultrareview do Claude Code que abusa de uma chave de configuração Git diferente, deliberadamente deixada sem nome para evitar fornecer um modelo de trabalho aos atacantes.
Medidas de mitigação recomendadas
Desenvolvedores que recebem repositórios como arquivos brutos devem inspecionar o arquivo .git/config antes de abri-lo em qualquer agente de IA. É crucial verificar se há comandos suspeitos ou referências a scripts externos.
Os fornecedores, por sua vez, são instados a sanitizar a configuração do Git durante as chamadas de coleta de contexto de fundo, desabilitando explicitamente o core.fsmonitor para fechar essa classe inteira de execução de código silenciosa e pré-autenticação.
Implicações para a segurança de IA
Este incidente destaca os riscos emergentes na intersecção entre ferramentas de desenvolvimento assistido por IA e a cadeia de suprimentos de software. À medida que os agentes de IA se tornam mais autônomos na execução de tarefas de código, a superfície de ataque se expande para além do código em si, atingindo o ambiente de execução do desenvolvedor.
O que os CISOs devem fazer imediatamente
- Implementar políticas de segurança que restrinjam a execução de scripts não assinados em ambientes de desenvolvimento.
- Monitorar o comportamento de ferramentas de IA de codificação para detectar chamadas de sistema incomuns.
- Capacitar equipes de desenvolvimento para identificar repositórios Git suspeitos antes de abri-los em ambientes de trabalho.