Un fichier .git piégé peut faire exécuter du code par Claude Code, Codex et Cursor

The Hacker News documente une nouvelle classe d'attaque : des configurations .git malveillantes qui, lues par les agents IA de coding, exécutent du code attaquant. Les outils qui devaient sécuriser deviennent des vecteurs.

Les faits

The Hacker News rapporte le 2 septembre 2026 une nouvelle technique d'attaque documentée : des fichiers de configuration Git - le classique .git/config que tout dépôt embarque - peuvent être conçus pour faire exécuter du code arbitraire à des agents IA de coding lorsque ceux-ci ouvrent ou analysent le dépôt.

Les agents concernés incluent :

• Claude Code (Anthropic)
• Codex (OpenAI)
• Cursor (l'IDE agentique)
• Et d'autres outils qui s'appuient sur des commandes Git en arrière-plan pour indexer, analyser ou modifier un dépôt.

Le vecteur : Git autorise dans sa configuration certaines directives (hooks, alias, filtres) qui déclenchent l'exécution de commandes shell. Un agent IA qui « prend en main » un dépôt cloné - pour l'analyser, y committer, y lancer des tests - déclenche ces commandes avec les droits de l'utilisateur qui a lancé l'agent.

Qui est impacté

• Les développeurs utilisant Claude Code, Codex, Cursor ou tout autre agent qui manipule un dépôt Git localement.
• Les équipes qui laissent leurs agents IA cloner ou analyser des dépôts publics (revue de PR externe, exploration open source, tri d'issues).
• Les CI/CD qui délèguent des étapes à des agents IA sur des dépôts non maîtrisés.

Le scénario le plus dangereux : un attaquant publie un dépôt piégé sur GitHub, un développeur demande à son agent « analyse ce projet », et l'agent exécute silencieusement le payload embarqué dans le .git/config - avec accès à tout ce que le développeur peut lire (clés SSH, tokens, fichiers privés).

Pourquoi c'est significatif

Cette famille d'attaques prend le contre-pied du narratif habituel. Jusqu'ici, les agents IA de coding étaient présentés comme un renfort défensif : ils lisent le code, détectent des vulnérabilités, produisent des patches. Ici, ils deviennent la surface d'attaque. Le code malveillant n'a pas besoin d'être exécuté par l'humain : il suffit qu'un agent lise la config Git.

Nous suivons dans ce fil la montée en puissance des agents IA autonomes comme vecteurs d'intrusion - DeepSeek sur des serveurs, Claude qui breach trois organisations, Azure DevOps MCP détourné, Cursor utilisé par Aurora Ransomware pour générer ses payloads. La nouveauté ici : ce ne sont plus les agents qui attaquent, ce sont les agents qui sont attaqués à travers un artefact banal - un fichier de config que personne ne lit jamais.

À faire maintenant

• Ne laissez pas un agent IA analyser un dépôt inconnu sans le nettoyer avant : git config -file .git/config -unset-all sur les directives sensibles (core.hooksPath, core.fsmonitor, alias suspects) avant l'analyse.
• Isolez l'exécution des agents : conteneur dédié, sans clés SSH ni tokens sensibles montés.
• Auditez vos flux CI/CD : tout agent qui manipule un dépôt tiers doit tourner en environnement jetable.
• Suivez les annonces de patchs : Anthropic, OpenAI et les éditeurs d'agents concernés devront durcir leurs runners Git.

À retenir : la sécurité des agents IA de coding ne se joue plus seulement dans le prompt, mais dans tous les artefacts qu'ils touchent - configs Git, fichiers de projet, hooks. Traitez chaque dépôt inconnu comme un binaire non signé : dans un bac à sable, jamais sur votre poste de dev.