Sicherheitsforscher haben eine neue Schwachstelle namens GitSpawn aufgedeckt, bei der manipulierte Git-Repositories Schadcode auf Entwicklerrechnern ausführen können. Laut den Untersuchungen der Sicherheitsfirma Manifold Security geschieht dies automatisch, sobald ein betroffenes Repository mit einem KI-Coding-Agenten im Terminal geöffnet wird.
Manifold Security und GitSpawn
Die Ausführung erfolgt mit den vollen Rechten des Entwicklers, außerhalb der Sandbox und ohne vorherige Authentifizierung oder Trust-Abfrage. Das Problem entsteht, weil viele KI-Agenten beim Start automatisch im Hintergrund Git-Befehle wie git status oder git diff ausführen, um den Kontext zu aktualisieren. Dabei greift Git auf die lokale Git-Konfiguration zurück. Über die Einstellung core.fsmonitor lässt sich in der Konfigurationsdatei ein externes Hilfsprogramm definieren, das bei der Aktualisierung des Index automatisch gestartet wird. Ein bösartiges Repository kann diesen Mechanismus ausnutzen, um beliebige Befehle einzuschleusen.
core.fsmonitor und ZIP-Ordner
Der Angriff droht laut den Berichten nicht beim normalen Klonen, Abrufen oder Laden eines Repositories per Pull oder Fetch. Gefährlich sind hingegen Repositories, die als Rohdateien mit intaktem .git-Verzeichnis auf den Rechner gelangen – etwa über ZIP-Ordner oder gemeinsam genutzte Verzeichnisse von Kollegen.
Betroffene Tools und aktueller Status
Die Sicherheitsforscher bestätigten die Schwachstelle bei mehreren Agenten, darunter Claude Code, Goose, Hermes Agent, Qwen Code und Grok Build. Auch Cursor und Codex waren betroffen, wurden jedoch nach Berichten inzwischen gepatcht. Anthropic schloss die Lücke im Zusammenhang mit core.fsmonitor bei Claude Code, während Goose den Fix unter der CVE-Nummer CVE-2026-72718 bereitstellte. Für Hermes Agent wurde CVE-2026-71963 vergeben, da der Hersteller auf Kontaktversuche nicht reagierte. Einige Schwachstellen, darunter eine Variante bei Claude Code im Zusammenhang mit dem Befehl ultrareview sowie bei Qwen und Grok, blieben zunächst unpatched.
Entwickler und Anbieter von KI-Agenten
Entwickler werden daher aufgefordert, als Dateien erhaltene Repositories vor dem Öffnen auf verdächtige Einträge in der Datei .git/config zu überprüfen. Anbieter von KI-Agenten sollten laut den Empfehlungen die automatischen Git-Abfragen bereinigen und Funktionen wie core.fsmonitor standardmäßig deaktivieren.
Weiterlesen
