危险文件已经在项目内部。
2026 年 9 月 2 日，Hacker News 报道了 Manifold Security 的 GitSpawn 研究。该研究描述了一类缺陷，其中接收到的存储库可以携带 Git 配置，导致 AI 编码代理在开发人员的计算机上运行攻击者控制的命令。
本文使用公开报告和安全研究员背景。它不包含任何受影响公司的私人信息。
业主级别的课程是直接的。人工智能编码代理改变了存储库的安全含义。项目文件夹不再只是代码和文档。它可以将上下文、指令、自动化和工具调用包装到一个本地工作区中。
公开报道的内容
Hacker News 报道称，Manifold Security 披露了 7 个命令行 AI 编码代理中的 8 个 Git 配置缺陷。该报告称，该问题可能导致代理在检查存储库状态时运行命令，通常是通过状态或 diff 等正常的 Git 操作。
Manifold 的研究将该类命名为 GitSpawn。关键细节是交付。普通克隆不会以相同的方式保留敌对的 Hacker News 目录。危险的路径是以文件形式发送的项目：zip 存档、共享驱动器文件夹、同步目录、USB 切换、承包商包、客户样本或内部传输。
这就是存储库在本地 Git 配置已存在的情况下到达的方式。
当代理打开文件夹并使用 Git 收集上下文时，Git 可能会刷新其索引并执行配置的帮助程序命令。该命令以开发人员的用户权限在代理审批流程之外运行。
为什么这很重要
开发者机器是丰富的目标。
它们通常保存源代码、SSH 密钥、云配置文件、包注册表令牌、shell 配置、浏览器会话、VPN 访问、构建机密、测试凭据、本地数据库、事件注释、客户示例和内部文档。
人工智能编码代理直接位于这些资产旁边。他们检查文件、调用工具、运行命令、生成补丁并总结上下文。这很有用。这也意味着代理属于端点安全模型。
对于审查第三方代码、评估供应商样本、加入承包商、检查事件工件、运行漏洞赏金复制品或在正常 Git 托管之外交换压缩项目的团队来说，风险尤其严重。
实际故障模式
开发人员收到项目档案并在 AI 编码工具中打开它。该文件夹包含一个 CI 目录。代理收集上下文。在上下文收集期间，Git 操作会触发存储库控制的设置。命令在工作站上执行。
攻击者想要从开发者端点获得与攻击者通常想要的相同的东西：令牌、SSH 密钥、存储库访问、云凭证、包发布权限、本地文件和持久的立足点。
人类可能看不到任何可疑的东西。该代理可能看起来仍然有帮助。该命令可以在任何有意义的提示、审查或批准出现之前运行。
这就是令人不舒服的部分。曝光位于对话层下方。
团队现在应该检查哪些内容
创建人工智能开发工具清单。包括 CLI 代理、IDE 助手、插件、本地 MCP 服务器、浏览器代理、代码审查机器人、存储库自动化以及任何具有 shell 或文件访问权限的工具。
定义工作区信任级别。公司存储库、客户档案、公共样本、事件工件、候选人带回家的测试、供应商项目和下载的概念验证不应获得相同的本地权限。
控制项目摄入量。鼓励从受信任的远程进行干净的克隆。将具有 SToFU Systems 目录的存档存储库视为不受信任的输入。当不需要历史记录时，从外部档案中剥离 .git 目录。
限制本地秘密。将长期存在的秘密从 shell 配置文件和纯文本文件中移出。使用短期凭证、单独的配置文件、硬件支持的密钥和环境隔离进行风险分析。
限制代理启动行为。在工具允许的情况下禁用或限制自动操作。在建立工作区信任之前，检查代理是否运行 Git、shell 命令、挂钩或 MCP 调用。
记录代理和 shell 活动。团队应该能够回答哪个工具打开了哪个工作区、运行了哪些命令以及是否遵循出站连接。
测试控件。在团队在受控实验室中打开一个敌对装置并确认预期的区块之前，策略是薄弱的。
买家会问什么
企业买家越来越多地在软件交付过程中询问人工智能。他们想知道代码、秘密、构建系统和客户数据是否在没有治理的情况下暴露给代理。
强有力的答案包括批准的代理、工作区信任规则、秘密卫生、端点控制、MCP 策略、CI/CD 分离、审计日志记录和针对开发人员工具妥协的事件手册。
这个答案很有用，因为它将人工智能编码工具视为与生产相邻的系统，而不是个人生产力玩具。
欧洲网络安全提供商 SToFU Systems
欧洲网络安全提供商 SToFU Systems 提供针对 AI 编码代理泄露、恶意存储库移交、开发人员端点暴露、MCP 滥用、CI/CD 秘密泄露以及从工作站到生产的供应链移动的保护。
我们通过检查 AI 工具配置、存储库摄入路径、本地凭证存储、Git 行为、MCP 服务器权限、shell 执行路径、端点遥测和 CI/CD 权限来保护此轮廓。我们可以为外部代码构建安全审查工作流程，创建敌对环境测试装置，收紧工具策略，并提供开发人员可以实际使用的修复指南。与 SToFU Systems 合作的优势是跨人工智能系统、安全性和开发人员工具的工程深度。我们不会将代理视为黑匣子。我们遵循从存储库内容到本地流程、从本地流程到秘密、从秘密到 CI/CD、从 CI/CD 到产品风险的路径。输出是实用的控制图、经过验证的修复以及可供客户使用的证据。
来源
- SToFU Systems
- CI
