Acht Sicherheitslücken in sieben KI-basierten Code-Agenten zeigen, wie manipulierte Git-Konfigurationen zur Ausführung von Schadcode führen können. Die Schwachstelle liegt nicht in den Sprachmodellen selbst, sondern in der Art und Weise, wie die Agenten Git-Befehle auf dem Rechner des Entwicklers ausführen. Durch präparierte Repositorys können Angreifer Code außerhalb der Sandbox des Agenten und ohne Freigabeprompt starten – mit den vollen Rechten des Benutzers.
Die Schwachstelle: core.fsmonitor und die automatische Befehlsausführung
Der Schlüssel zur Angriffsfläche ist die Git-Konfigurationsoption core.fsmonitor. Dabei handelt es sich um eine Performance-Einstellung, deren Wert ein Kommando ist, das Git ausführt, um geänderte Dateien zu identifizieren. Diesen Wert liest Git aus der Konfigurationsdatei .git/config des Repositorys. Jeder Vorgang, der den Index aktualisiert – etwa git status oder git diff – führt dieses Kommando aus. KI-Codeaaa-Agenten rufen solche Git-Befehle im Hintergrund auf, um den aktuellen Branch oder geänderte Dateien zu ermitteln. Dabei lassen sie die Konfiguration des Repositorys unverändert, sodass ein manipulierter Wert ungefiltert an Git übergeben wird.
Manifold Security hat diese Angriffsklasse unter dem Namen GitSpawn veröffentlicht. Die Forscher betonen: »Die Schwachstelle liegt nicht im Modell oder in irgendetwas Neuem. Sie steckt in der gewöhnlichen Infrastruktur darunter – dem Unterprozess, den ein Agent beim Start aufruft, um herauszufinden, wo er sich befindet.«
Wie der Angriff ausgeführt wird
Ein Angreifer erstellt ein Repository, in dessen .git/config der Wert von core.fsmonitorcodecodecodecode auf ein schädliches Skript gesetzt wird. Dieses Repository muss dem Opfer nicht über einen normalen Git-Clone zugänglich gemacht werden – denn dabei übergibt Git die Konfiguration nicht. Stattdessen genügen Archive (ZIP, TAR), geteilte Laufwerke, Synchronisationsordner oder USB-Sticks, die das Verzeichnis .git unverändert enthalten. Öffnet der Entwickler ein solches Verzeichnis mit einem betroffenen Agenten, führt dieser im Hintergrund git status oder ähnliches aus. Der in der Konfiguration hinterlegte Befehl wird daraufhin mit den Privilegien des Benutzers gestartet – ohne Sandbox, ohne Zustimmung.
Das Besondere: Bei einigen Agenten löst der Schadcode bereits aus, bevor der Benutzer den Arbeitsbereich überhaupt als vertrauenswürdig bestätigt hat. Bei Claude Code und Hermes Agent feuert der Payload noch vor dem Akzeptieren des Workspace-Trust-Prompts, bei Qwen Code vor der Authentifizierung des Benutzers und bei Grok Build bereits beim ersten Tastendruck.
Betroffene Agenten und Versionen
Manifold hat insgesamt acht Schwachstellen gemeldet – vier davon waren zum Zeitpunkt der Veröffentlichung noch nicht gepatcht. Die folgende Liste zeigt die nachweislich betroffenen Produkte und Versionen:
- goose – alle Versionen vor 1.44.0 (behoben mit 1.44.0)
- Codex CLI – 0.102.0 bis 0.130.0 (behoben mit 0.131.0)
- Codex Desktop für macOS – 260202.0859 bis 26.513.31313 (behoben mit 26.519.22136)
- Codex Desktop für Windows – 26.304.38 bis 26.513.40821 (behoben mit 26.519.21041; Microsoft Store 26.304.38.0–26.513.4821.0, behoben mit 26.519.2081.0)
- Claude Code – bestätigt für 2.1.193 (
core.fsmonitorcodecodecodecode-Pfad), behoben mit 2.1.196; zweiter Pfad (claude ultrareviewcodecodecodecode) noch offen auf 2.1.252 - Hermes Agent – 0.18.2 und 0.21.0 bestätigt, Fix ausstehend
- Qwen Code – 0.19.6 und 0.22.3 bestätigt, Fix ausstehend
- Grok Build – 0.2.93 und 1.0.13 bestätigt, Fix ausstehend
Zusätzlich hat OpenAI zeitgleich drei eigene CVEs für die identische Angriffsklasse in Codex veröffentlicht (CVE-2026-19592). In der Beschreibung heißt es: »Der Helferprozess läuft außerhalb der Codex-Befehlssandbox und ohne Benutzerfreigabe, sodass angreifergesteuerter Code mit den Rechten des Benutzers ausgeführt werden kann. Der Code kann Dateien lesen, ändern oder löschen und auf andere Ressourcen des Benutzerkontos zugreifen.«
Details zu den ungepatchten Fällen
Fünf der acht Meldungen von Manifold waren Duplikate von bereits unabhängig eingereichten Forschungsergebnissen – einer davon am selben Tag. Der core.fsmonitorcodecodecodecode-Pfad in Claude Code wurde am 26. Juni gemeldet und mit Version 2.1.196 am 29. Juni behoben. Doch Anthropic veröffentlichte dazu kein Advisory. Der zweite Pfad in Claude Code, der über claude ultrareviewcodecodecodecode erreichbar ist, nutzt einen anderen Git-Konfigurationsschlüssel, den Manifold bewusst nicht preisgibt. Die Sicherheitslücke blieb bis mindestens Version 2.1.258 offen.
Bei Alibabas Qwen Code bestätigte das Sicherheits-Response-Center den Bericht am 7. Juli. Dennoch ist die aktuellste npm-Version (0.22.3) diejenige, die Manifold am 1. September erneut getestet hat – ohne Fix. Nous Researchs Hermes Agent, der kürzlich in einem Vorfall gegen ein thailändisches Regierungsnetzwerk eingesetzt wurde, ignorierte sechs Kontaktversuche über fünf Kanäle; das private Advisory blieb unbeantwortet. xAI schloss sowohl einen früheren Bericht als auch die Meldung von Manifold als »informativ« beziehungsweise als Duplikat. Für Grok Build wurde eine separate Sicherheitslücke dokumentiert, die ganze Git-Repositorys an die xAI-Speicherung hochlud – die Firma reagierte lediglich auf X, nicht über ein Advisory.
Schutzmaßnahmen für Entwickler
Da eine Ausnutzung dieser Schwachstelle nach aktuellem Kenntnisstand nicht in freier Wildbahn stattgefunden hat, gibt es Zeit für präventive Schritte. Cobalt beschreibt in einem Red-Team-Bericht: »FSMonitor-Missbrauch nutzt eine legitime Funktion aus, keinen Programmfehler. Er spielt die Flexibilität von Git und die Automatisierung moderner IDEs so zusammen, dass das Öffnen eines Repositorys in Codeausführung mündet.«
Folgende Prüfungen sollten vor dem Öffnen eines als Dateien erhaltenen Verzeichnisses mit einem KI-Agenten durchgeführt werden:
- Überprüfen der Datei
.git/configcodecodecodecode auf die Einträgecore.fsmonitorcodecodecodecode,core.hooksPathcodecodecodecode,attr.treecodecodecodecode sowie einencleancodecodecodecode- oderprocesscodecodecodecode-Filter. - Ausführen von
git config --get core.fsmonitorcodecodecodecode innerhalb des Repositorys. - Audit der globalen Konfiguration mit
git config --global --list | grep fsmonitorcodecodecodecode. - Dauerhaftes Deaktivieren der Einstellung:
git config --global core.fsmonitor falsecodecodecodecode. - Hersteller sollten bei Hintergrundaufrufen die Konfiguration strippen, z. B. durch
git -c core.fsmonitor=false statuscodecodecodecode.
Weitere Komplikationen entstehen dadurch, dass selbst gepatchte Agenten nicht immer korrekt aktualisiert werden. So ist Codex CLI in Version 0.131.0 behoben, doch die aktuelle Version 0.152.1. Installationen, die auf Versionen unter 0.131.0 festgenagelt sind, bleiben weiterhin angreifbar.
Der Vorfall zeigt, dass die Schnittstelle zwischen KI-Agenten und dem darunterliegenden Betriebssystem eine der verletzlichsten Stellen moderner Entwicklungsumgebungen ist. Während die Sprachmodelle selbst kaum direkt angreifbar sind, schaffen die automatisierten Werkzeuge, die sie mit der Umgebung verbinden, eine neue Angriffsfläche. Hersteller müssen nicht nur die Modelle, sondern vor allem die Prozess-Orchestrierung und die Handhabung von Benutzereingaben aus Drittanbieter-Quellen überdenken. Andernfalls werden Repositorys zum Einfallstor – nicht für die KI, sondern für die gewöhnliche Infrastruktur, die sie antreibt.
