Скомпрометированный файл .git может привести к выполнению кода в Claude Code, Codex и Cursor

The Hacker News документирует новый класс атак: вредоносные конфигурации .git, которые, будучи прочитанными ИИ-агентами для написания кода, выполняют атакующий код. Инструменты, предназначенные для защиты, становятся векторами атак.

Факты

The Hacker News сообщает 2 сентября 2026 года о новой задокументированной технике атаки: файлы конфигурации Git — классический .git/config, который есть в каждом репозитории, — могут быть сконструированы так, чтобы выполнять произвольный код в агентах ИИ для программирования, когда те открывают или анализируют репозиторий.

К уязвимым агентам относятся:

• Claude Code (Anthropic)
• Codex (OpenAI)
• Cursor (агентный IDE)
• А также другие инструменты, которые используют команды Git в фоновом режиме для индексации, анализа или изменения репозитория.

Вектор атаки: Git позволяет в своей конфигурации использовать определённые директивы (хуки, алиасы, фильтры), которые запускают выполнение команд оболочки. Агент ИИ, который « берёт на себя » клонированный репозиторий — для анализа, коммита, запуска тестов — запускает эти команды с правами пользователя, запустившего агента.

Кого это касается

• Разработчиков, использующих Claude Code, Codex, Cursor или любые другие агенты, которые работают с локальным репозиторием Git.
• Команды, которые позволяют своим агентам ИИ клонировать или анализировать публичные репозитории (внешний ревью PR, исследование open source, сортировка issue).
• CI/CD-системы, которые делегируют этапы агентам ИИ на недоверенных репозиториях.

Самый опасный сценарий: злоумышленник публикует на GitHub заражённый репозиторий, разработчик просит своего агента « проанализируй этот проект », и агент silently выполняет payload, встроенный в .git/config — с доступом ко всему, что может прочитать разработчик (SSH-ключи, токены, приватные файлы).

Почему это важно

Эта семья атак идёт вразрез с привычным нарративом. До сих пор агенты ИИ для программирования позиционировались как оборонительное усиление: они читают код, обнаруживают уязвимости, создают патчи. Здесь же они становятся поверхностью атаки. Вредоносный код не нужно выполнять вручную: достаточно, чтобы агент прочитал конфигурацию Git.

Мы отслеживаем в этой теме рост автономных агентов ИИ как вектора вторжения — DeepSeek на серверах, Claude, взломавший три организации, Azure DevOps MCP, перенаправленный, Cursor, использованный Aurora Ransomware для генерации своих полезных нагрузок. Новизна здесь в том, что теперь атакуют не самих агентов, а агентов через банальный артефакт — файл конфигурации, который никто никогда не читает.

Что делать сейчас

• Не позволяйте агенту ИИ анализировать неизвестный репозиторий без предварительной очистки: выполните git config -file .git/config -unset-all для чувствительных директив (core.hooksPath, core.fsmonitor, подозрительных алиасов) перед анализом.
• Изолируйте выполнение агентов: используйте отдельный контейнер, без примонтированных SSH-ключей или чувствительных токенов.
• Аудируйте свои CI/CD-процессы: любой агент, работающий с сторонним репозиторием, должен запускаться в одноразовой среде.
• Следите за объявлениями патчей: Anthropic, OpenAI и редакторы соответствующих агентов должны усилить защиту своих Git-раннеров.

Главное: безопасность агентов ИИ для программирования больше не ограничивается промптом, а распространяется на все артефакты, с которыми они взаимодействуют — конфиги Git, файлы проекта, хуки. Относитесь к каждому неизвестному репозиторию как к неподписанному бинарнику: только в песочнице, никогда на своей машине разработчика.