Un archivo .git malicioso puede hacer que Claude Code, Codex y Cursor ejecuten código.

The Hacker News documenta una nueva clase de ataque: configuraciones .git maliciosas que, al ser leídas por agentes de IA de codificación, ejecutan código atacante. Las herramientas que debían proteger se convierten en vectores.

Los hechos

The Hacker News reporta el 2 de septiembre de 2026 una nueva técnica de ataque documentada: los archivos de configuración de Git —el clásico .git/config que todo repositorio incluye— pueden diseñarse para hacer ejecutar código arbitrario en agentes de IA de codificación cuando estos abren o analizan el repositorio.

Los agentes afectados incluyen:

• Claude Code (Anthropic)
• Codex (OpenAI)
• Cursor (el IDE agentico)
• Y otras herramientas que utilizan comandos de Git en segundo plano para indexar, analizar o modificar un repositorio.

El vector: Git permite en su configuración ciertas directivas (hooks, alias, filtros) que desencadenan la ejecución de comandos shell. Un agente de IA que «toma el control» de un repositorio clonado —para analizarlo, hacer commits, ejecutar pruebas— activa estos comandos con los permisos del usuario que lanzó el agente.

Quién está afectado

• Los desarrolladores que usan Claude Code, Codex, Cursor o cualquier otro agente que manipule un repositorio Git localmente.
• Los equipos que permiten que sus agentes de IA clonen o analicen repositorios públicos (revisión de PR externa, exploración de código abierto, clasificación de issues).
• Las CI/CD que delegan pasos a agentes de IA en repositorios no controlados.

El escenario más peligroso: un atacante publica un repositorio malicioso en GitHub, un desarrollador pide a su agente «analiza este proyecto», y el agente ejecuta silenciosamente la carga útil incrustada en el .git/config —con acceso a todo lo que el desarrollador puede leer (claves SSH, tokens, archivos privados).

Por qué es significativo

Esta familia de ataques va en contra del relato habitual. Hasta ahora, los agentes de IA de codificación se presentaban como un refuerzo defensivo: leen el código, detectan vulnerabilidades, generan parches. Aquí, se convierten en la superficie de ataque. El código malicioso no necesita ser ejecutado por un humano: basta con que un agente lea la configuración de Git.

Seguimos en este hilo el auge de los agentes de IA autónomos como vectores de intrusión —DeepSeek en servidores, Claude que vulnera tres organizaciones, Azure DevOps MCP desviado, Cursor usado por Aurora Ransomware para generar sus cargas—. La novedad aquí es que ya no son los agentes los que atacan, sino que son los agentes los que son atacados a través de un artefacto cotidiano: un archivo de configuración que nadie revisa.

Qué hacer ahora

• No permitas que un agente de IA analice un repositorio desconocido sin limpiarlo antes: git config -file .git/config -unset-all en las directivas sensibles (core.hooksPath, core.fsmonitor, alias sospechosos) antes del análisis.
• Aísla la ejecución de los agentes: contenedor dedicado, sin claves SSH ni tokens sensibles montados.
• Audita tus flujos de CI/CD: cualquier agente que manipule un repositorio de terceros debe ejecutarse en un entorno desechable.
• Sigue los anuncios de parches: Anthropic, OpenAI y los editores de agentes afectados deberán endurecer sus runners de Git.

Para recordar: la seguridad de los agentes de IA de codificación ya no depende solo del prompt, sino de todos los artefactos que tocan —configuraciones de Git, archivos de proyecto, hooks—. Trata cada repositorio desconocido como un binario sin firmar: en un entorno aislado, nunca en tu estación de desarrollo.