被恶意的 .git 文件可能会导致 Claude Code、Codex 和 Cursor 执行代码

The Hacker News 记录了一种新型攻击类别：恶意的 .git 配置文件，当被 AI 编码代理读取时会执行攻击代码。原本用于保护的工具却沦为攻击向量。

事实

Hacker News 在 2026 年 9 月 2 日报道了一种新的攻击技术：Git 配置文件（即所有仓库都包含的 .git/config）可以被设计为在代码智能体（AI coding agents）打开或分析仓库时执行任意代码。

受影响的智能体包括：

• Claude Code（Anthropic）
• Codex（OpenAI）
• Cursor（代理式 IDE）
• 以及其他依赖后台 Git 命令进行索引、分析或修改仓库的工具。

攻击向量：Git 允许在其配置中使用某些指令（hooks、别名、过滤器），这些指令会触发 shell 命令的执行。当 AI 智能体“接管”一个克隆的仓库（用于分析、提交或运行测试）时，会以启动该智能体的用户权限执行这些命令。

影响范围

• 使用 Claude Code、Codex、Cursor 或任何本地操作 Git 仓库的 AI 智能体的开发者。
• 让 AI 智能体克隆或分析公开仓库的团队（外部 PR 审查、开源探索、问题筛选）。
• 在未受控仓库上将 CI/CD 步骤委派给 AI 智能体的团队。

最危险的场景：攻击者在 GitHub 上发布一个恶意仓库，开发者让其智能体“分析这个项目”，智能体便会静默执行 .git/config 中嵌入的 payload——并获得对开发者可读取的一切内容的访问权限（SSH 密钥、令牌、私有文件）。

重要性

这类攻击与常规叙事背道而驰。迄今为止，代码 AI 智能体被视为防御增强工具：它们读取代码、检测漏洞、生成补丁。而在此次攻击中，它们成为攻击面。恶意代码无需由人类执行：只要 AI 智能体读取 Git 配置即可。

我们在本帖中持续关注 AI 自主智能体作为入侵向量的崛起——DeepSeek 攻击服务器、Claude 入侵三个组织、Azure DevOps MCP 被滥用、Cursor 被 Aurora 勒索软件用于生成 payload。此次攻击的新颖之处在于：不再是智能体发动攻击，而是智能体通过一个平凡的工件（配置文件，几乎无人查看）被攻击。

立即行动

• 在让 AI 智能体分析未知仓库前先清理它：在分析前用 git config -file .git/config -unset-all 移除敏感指令（如 core.hooksPath、core.fsmonitor、可疑别名）。
• 隔离智能体执行环境：使用专用容器，不挂载 SSH 密钥或敏感令牌。
• 审计 CI/CD 流程：任何操作第三方仓库的智能体必须在一次性环境中运行。
• 关注补丁发布：Anthropic、OpenAI 及相关工具厂商需加固其 Git 运行环境。

记住：代码 AI 智能体的安全不再仅限于提示词，而是扩展到它们触及的所有工件——Git 配置、项目文件、hooks。将每个未知仓库视为未签名的二进制文件：在沙盒中运行，切勿在开发机上直接操作。