Acht Sicherheitsl\u00fccken in sieben KI-basierten Code-Agenten zeigen, wie manipulierte Git-Konfigurationen zur Ausf\u00fchrung von Schadcode f\u00fchren k\u00f6nnen. Die Schwachstelle liegt nicht in den Sprachmodellen selbst, sondern in der Art und Weise, wie die Agenten Git-Befehle auf dem Rechner des Entwicklers ausf\u00fchren. Durch pr\u00e4parierte Repositorys k\u00f6nnen Angreifer Code au\u00dferhalb der Sandbox des Agenten und ohne Freigabeprompt starten \u2013 mit den vollen Rechten des Benutzers.<\/p>\n
Der Schl\u00fcssel zur Angriffsfl\u00e4che ist die Git-Konfigurationsoption core.fsmonitor<\/strong>. Dabei handelt es sich um eine Performance-Einstellung, deren Wert ein Kommando ist, das Git ausf\u00fchrt, um ge\u00e4nderte Dateien zu identifizieren. Diesen Wert liest Git aus der Konfigurationsdatei .git\/config<\/em> des Repositorys. Jeder Vorgang, der den Index aktualisiert \u2013 etwa git status<\/em> oder git diff<\/em> \u2013 f\u00fchrt dieses Kommando aus. KI-Code<\/a>aaa-Agenten rufen solche Git-Befehle im Hintergrund auf, um den aktuellen Branch oder ge\u00e4nderte Dateien zu ermitteln. Dabei lassen sie die Konfiguration des Repositorys unver\u00e4ndert, sodass ein manipulierter Wert ungefiltert an Git \u00fcbergeben wird.<\/p>\n Manifold Security hat diese Angriffsklasse unter dem Namen GitSpawn<\/strong> ver\u00f6ffentlicht. Die Forscher betonen: \u00bbDie Schwachstelle liegt nicht im Modell oder in irgendetwas Neuem. Sie steckt in der gew\u00f6hnlichen Infrastruktur darunter \u2013 dem Unterprozess, den ein Agent beim Start aufruft, um herauszufinden, wo er sich befindet.\u00ab<\/p>\n Ein Angreifer erstellt ein Repository, in dessen .git\/config<\/em> der Wert von Das Besondere: Bei einigen Agenten l\u00f6st der Schadcode bereits aus, bevor der Benutzer den Arbeitsbereich \u00fcberhaupt als vertrauensw\u00fcrdig best\u00e4tigt hat. Bei Claude Code<\/a> und Hermes Agent feuert der Payload noch vor dem Akzeptieren des Workspace-Trust-Prompts, bei Qwen Code vor der Authentifizierung des Benutzers und bei Grok Build bereits beim ersten Tastendruck.<\/p>\n Manifold hat insgesamt acht Schwachstellen gemeldet \u2013 vier davon waren zum Zeitpunkt der Ver\u00f6ffentlichung noch nicht gepatcht. Die folgende Liste zeigt die nachweislich betroffenen Produkte und Versionen:<\/p>\n Zus\u00e4tzlich hat OpenAI zeitgleich drei eigene CVEs f\u00fcr die identische Angriffsklasse in Codex ver\u00f6ffentlicht (CVE-2026-19592<\/strong>). In der Beschreibung hei\u00dft es: \u00bbDer Helferprozess l\u00e4uft au\u00dferhalb der Codex-Befehlssandbox und ohne Benutzerfreigabe, sodass angreifergesteuerter Code mit den Rechten des Benutzers ausgef\u00fchrt werden kann. Der Code kann Dateien lesen, \u00e4ndern oder l\u00f6schen und auf andere Ressourcen des Benutzerkontos zugreifen.\u00ab<\/p>\n F\u00fcnf der acht Meldungen von Manifold waren Duplikate von bereits unabh\u00e4ngig eingereichten Forschungsergebnissen \u2013 einer davon am selben Tag. Der Bei Alibabas Qwen Code best\u00e4tigte das Sicherheits-Response-Center den Bericht am 7. Juli. Dennoch ist die aktuellste npm-Version (0.22.3) diejenige, die Manifold am 1. September erneut getestet hat \u2013 ohne Fix. Nous Researchs Hermes Agent, der k\u00fcrzlich in einem Vorfall gegen ein thail\u00e4ndisches Regierungsnetzwerk eingesetzt wurde, ignorierte sechs Kontaktversuche \u00fcber f\u00fcnf Kan\u00e4le; das private Advisory blieb unbeantwortet. xAI schloss sowohl einen fr\u00fcheren Bericht als auch die Meldung von Manifold als \u00bbinformativ\u00ab beziehungsweise als Duplikat. F\u00fcr Grok Build wurde eine separate Sicherheitsl\u00fccke dokumentiert, die ganze Git-Repositorys an die xAI-Speicherung hochlud \u2013 die Firma reagierte lediglich auf X, nicht \u00fcber ein Advisory.<\/p>\n Da eine Ausnutzung dieser Schwachstelle nach aktuellem Kenntnisstand nicht in freier Wildbahn stattgefunden hat, gibt es Zeit f\u00fcr pr\u00e4ventive Schritte. Cobalt beschreibt in einem Red-Team-Bericht: \u00bbFSMonitor-Missbrauch nutzt eine legitime Funktion aus, keinen Programmfehler. Er spielt die Flexibilit\u00e4t von Git und die Automatisierung moderner IDEs so zusammen, dass das \u00d6ffnen eines Repositorys in Codeausf\u00fchrung m\u00fcndet.\u00ab<\/p>\nWie der Angriff ausgef\u00fchrt wird<\/h3>\n
core.fsmonitor<\/code>codecodecodecode auf ein sch\u00e4dliches Skript gesetzt wird. Dieses Repository muss dem Opfer nicht \u00fcber einen normalen Git-Clone zug\u00e4nglich gemacht werden \u2013 denn dabei \u00fcbergibt Git die Konfiguration nicht. Stattdessen gen\u00fcgen Archive (ZIP, TAR), geteilte Laufwerke, Synchronisationsordner oder USB-Sticks, die das Verzeichnis .git<\/em> unver\u00e4ndert enthalten. \u00d6ffnet der Entwickler ein solches Verzeichnis mit einem betroffenen Agenten, f\u00fchrt dieser im Hintergrund git status<\/em> oder \u00e4hnliches aus. Der in der Konfiguration hinterlegte Befehl wird daraufhin mit den Privilegien des Benutzers gestartet \u2013 ohne Sandbox, ohne Zustimmung.<\/p>\nBetroffene Agenten und Versionen<\/h2>\n
\n
core.fsmonitor<\/code>codecodecodecode-Pfad), behoben mit 2.1.196; zweiter Pfad (claude ultrareview<\/code>codecodecodecode) noch offen auf 2.1.252<\/li>\nDetails zu den ungepatchten F\u00e4llen<\/h3>\n
core.fsmonitor<\/code>codecodecodecode-Pfad in Claude Code wurde am 26. Juni gemeldet und mit Version 2.1.196 am 29. Juni behoben. Doch Anthropic ver\u00f6ffentlichte dazu kein Advisory. Der zweite Pfad in Claude Code, der \u00fcber claude ultrareview<\/code>codecodecodecode erreichbar ist, nutzt einen anderen Git-Konfigurationsschl\u00fcssel, den Manifold bewusst nicht preisgibt. Die Sicherheitsl\u00fccke blieb bis mindestens Version 2.1.258 offen.<\/p>\nSchutzma\u00dfnahmen f\u00fcr Entwickler<\/h2>\n