Um arquivo .git malicioso pode fazer com que o Claude Code, Codex e Cursor executem código

O Hacker News documenta uma nova classe de ataque: configurações .git maliciosas que, lidas por agentes de IA de codificação, executam código atacante. As ferramentas que deveriam proteger tornam-se vetores.

Os fatos

The Hacker News relata em 2 de setembro de 2026 uma nova técnica de ataque documentada: arquivos de configuração Git — o clássico .git/config que todo repositório carrega — podem ser projetados para fazer com que agentes de IA de codificação executem código arbitrário quando estes abrem ou analisam o repositório.

Os agentes afetados incluem:

• Claude Code (Anthropic)
• Codex (OpenAI)
• Cursor (a IDE agentiva)
• E outras ferramentas que dependem de comandos Git em segundo plano para indexar, analisar ou modificar um repositório.

O vetor: o Git permite em sua configuração certas diretivas (hooks, aliases, filtros) que acionam a execução de comandos shell. Um agente de IA que "assume" um repositório clonado — para analisá-lo, fazer commits, executar testes — dispara esses comandos com os direitos do usuário que iniciou o agente.

Quem é afetado

• Desenvolvedores que usam Claude Code, Codex, Cursor ou qualquer outro agente que manipule um repositório Git localmente.
• Equipes que permitem que seus agentes de IA clonem ou analisem repositórios públicos (revisão de PR externa, exploração de código aberto, triagem de issues).
• CI/CDs que delegam etapas a agentes de IA em repositórios não confiáveis.

O cenário mais perigoso: um atacante publica um repositório armadilhado no GitHub, um desenvolvedor pede ao seu agente "analise este projeto", e o agente executa silenciosamente o payload embutido no .git/config — com acesso a tudo o que o desenvolvedor pode ler (chaves SSH, tokens, arquivos privados).

Por que isso é significativo

Essa família de ataques inverte o discurso habitual. Até agora, os agentes de IA de codificação eram apresentados como um reforço defensivo: eles leem o código, detectam vulnerabilidades, produzem patches. Aqui, eles se tornam a superfície de ataque. O código malicioso não precisa ser executado por um humano: basta que um agente leia a configuração Git.

Acompanhamos neste fio o aumento dos agentes de IA autônomos como vetores de intrusão — DeepSeek em servidores, Claude invadindo três organizações, Azure DevOps MCP desviado, Cursor usado pelo Aurora Ransomware para gerar seus payloads. A novidade aqui é que não são mais os agentes que atacam, mas os agentes que são atacados por meio de um artefato banal — um arquivo de configuração que ninguém nunca lê.

O que fazer agora

• Não permita que um agente de IA analise um repositório desconhecido sem limpá-lo antes: git config -file .git/config -unset-all nas diretivas sensíveis (core.hooksPath, core.fsmonitor, aliases suspeitos) antes da análise.
• Isole a execução dos agentes: contêiner dedicado, sem chaves SSH ou tokens sensíveis montados.
• Audite seus fluxos de CI/CD: qualquer agente que manipule um repositório de terceiros deve rodar em um ambiente descartável.
• Acompanhe os anúncios de patches: Anthropic, OpenAI e os editores de agentes afetados terão que endurecer seus runners Git.

Para lembrar: a segurança dos agentes de IA de codificação não se limita mais ao prompt, mas a todos os artefatos que eles tocam — configurações Git, arquivos de projeto, hooks. Trate cada repositório desconhecido como um binário não assinado: em uma caixa de areia, nunca na sua estação de trabalho.