Un fichier .git piégé peut faire exécuter du code par Claude Code, Codex et Cursor

The Hacker Newsは新たな攻撃手法を文書化：悪意のある.git設定が、コーディング用AIエージェントによって読み込まれ、攻撃コードを実行する。セキュリティを目的としたツールが、攻撃ベクトルに転じる。

事実

The Hacker Newsは2026年9月2日に新たな攻撃手法が文書化されたと報じた：Gitの設定ファイル（.git/config）が、コーディングAIエージェントによるリポジトリのクローンや分析時に任意のコードを実行させるように設計される可能性がある。

対象となるエージェントには以下が含まれる：

• Claude Code（Anthropic）
• Codex（OpenAI）
• Cursor（エージェント型IDE）
• Gitコマンドをバックグラウンドで実行してリポジトリをインデックス化・分析・変更するその他のツール

攻撃ベクトル：Gitの設定では、hooks、alias、フィルターなどのディレクティブが許可されており、これらはシェルコマンドの実行を引き起こす。リポジトリを「引き継ぐ」AIエージェント（分析、コミット、テスト実行など）は、これらのコマンドをエージェントを起動したユーザーの権限で実行してしまう。

影響を受ける対象

• Claude Code、Codex、Cursor、またはローカルでGitリポジトリを操作するAIエージェントを使用する開発者
• AIエージェントに外部PRレビュー、オープンソース探索、Issue整理などで公開リポジトリをクローンまたは分析させるチーム
• 管理されていないリポジトリ上でAIエージェントにCI/CDステップを委任する場合

最も危険なシナリオ：攻撃者がGitHubに罠を仕掛けたリポジトリを公開し、開発者がエージェントに「このプロジェクトを分析しろ」と指示すると、エージェントが.git/configに埋め込まれたペイロードを静かに実行し、開発者がアクセスできるすべてのリソース（SSH鍵、トークン、プライベートファイル）にアクセスしてしまう。

なぜこれが重要か

この攻撃手法は従来の narrative とは逆のアプローチを取っている。これまで、コーディングAIエージェントは防御的な強化として紹介されてきた：コードを読み、脆弱性を検出し、パッチを生成する。しかし今回、攻撃対象となる表面が拡大した。悪意のあるコードは人間によって実行される必要はない。エージェントがGit設定を読むだけで実行されてしまうのだ。

当社では、侵入ベクトルとしての自律型AIエージェントの台頭を追跡しており、DeepSeekによるサーバー攻撃、Claudeによる3組織への侵害、Azure DevOps MCPの乗っ取り、AuroraランサムウェアによるCursorを用いたペイロード生成などが報告されている。今回の新規性：エージェントが攻撃するのではなく、エージェントが日常的な成果物（誰も読まない設定ファイル）を通じて攻撃される点だ。

今すぐ実施すべきこと

• 不明なリポジトリをエージェントに分析させる前にクリーニングする：分析前にsensitive directives（core.hooksPath、core.fsmonitor、怪しいalias）をgit config -file .git/config -unset-allで削除する
• エージェントの実行を隔離する：専用コンテナを使用し、SSH鍵やトークンをマウントしない
• CI/CDフローを監査する：サードパーティのリポジトリを操作するエージェントは使い捨て環境で実行する
• パッチの発表を追跡する：Anthropic、OpenAI、その他関連エージェントの開発者はGitランナーを強化する必要がある

覚えておくべきこと：コーディングAIエージェントのセキュリティは、プロンプトだけでなく、それらが触れるすべての成果物（Git設定、プロジェクトファイル、hooks）に依存する。不明なリポジトリは署名されていないバイナリと同様に扱うこと：サンドボックス環境で、決して開発マシン上では実行しない。