Fichiers .git piégés : quand Claude, Codex ou Cursor exécutent du code attaquant à votre insu

Une classe de vulnérabilités baptisée GitSpawn

Manifold Security a publié sous le nom « GitSpawn » une série de huit vulnérabilités affectant sept agents de codage IA en ligne de commande, parmi lesquels goose, Claude Code, Codex, Cursor, Hermes Agent, Qwen Code et Grok Build. Le point commun de ces failles : la configuration Git embarquée dans un dépôt (le fichier .git/config) peut désigner une commande que l'agent exécute ensuite sur la machine du développeur, avec les privilèges de l'utilisateur, en dehors de la sandbox de l'agent et sans aucune fenêtre d'approbation.

Le mécanisme exploité repose principalement sur core.fsmonitor, un paramètre de performance de Git dont la valeur est une commande que Git lance pour identifier les fichiers modifiés. Or Git lit ce paramètre depuis la configuration du dépôt lui-même, et toute opération qui rafraîchit l'index — comme git status ou git diff — exécute cette commande. Les agents IA appellent précisément ces commandes en arrière-plan au démarrage d'une session, pour déterminer la branche courante et les fichiers modifiés.

Comme le résume Manifold, la vulnérabilité ne se situe pas dans le modèle d'IA lui-même, mais dans la « plomberie » ordinaire : le sous-processus qu'un agent lance au démarrage pour comprendre où il se trouve.

Un vecteur d'attaque précis : le dépôt reçu sous forme de fichiers

Un détail important limite — sans l'annuler — le risque : l'exploitation nécessite que le dépôt arrive sur le poste sous forme de fichiers avec son répertoire .git intact. C'est le cas d'une archive partagée, d'un dossier synchronisé (type drive partagé), d'un disque réseau ou d'une clé USB. Un clone Git classique, lui, ne préserve pas la configuration piégée.

La gravité vient du moment où le code s'exécute. Sur Claude Code et Hermes Agent, la charge malveillante se déclenche avant même que l'utilisateur n'ait accepté l'invite de confiance du workspace. Sur Qwen Code, elle s'exécute avant l'authentification de l'utilisateur, et sur Grok Build dès la première frappe au clavier. Dans le cas de goose, l'avis de sécurité (CVE-2026-72718, score CVSS 7.0) précise que lancer goose review dans un dépôt malveillant exécute le code de l'attaquant sans prompt soumis, sans appel au modèle, sans approbation d'outil et avant tout contact avec le modèle.

L'état des correctifs, agent par agent

Au moment de la publication, la situation était contrastée :

• goose : corrigé en version 1.44.0 ;
• Codex CLI : versions 0.102.0 à 0.130.0 vulnérables, corrigé en 0.131.0 (les versions Desktop macOS et Windows ont également reçu des correctifs). OpenAI a publié trois CVE couvrant cette classe de failles dans Codex, dont CVE-2026-19592 ;
• Claude Code : le chemin core.fsmonitor a été corrigé en 2.1.196, mais un second chemin d'exécution, déclenché via la commande claude ultrareview et s'appuyant sur une autre clé de configuration Git non divulguée, était encore actif en version 2.1.252 lors du re-test du 1er septembre ;
• Cursor : un correctif a été publié, Manifold ayant documenté trois semaines plus tôt une commande de setup fournie par le dépôt qui s'exécutait avant l'invite de confiance et hors sandbox ;
• Hermes Agent, Qwen Code et Grok Build : toujours vulnérables lors du re-test de Manifold, les correctifs étant en attente.

OpenAI décrit sans ambiguïté l'impact dans sa fiche CVE : le code contrôlé par l'attaquant s'exécute avec les privilèges de l'utilisateur et peut lire, modifier ou supprimer ses fichiers, ainsi qu'accéder aux autres ressources de son compte.

Un problème connu qui revient

Cette classe de failles n'est pas nouvelle. Sonar avait signalé le même vecteur dès avril et rappelé que le même contournement du dialogue de confiance existait dans Visual Studio Code avant la version 1.63.1 (CVE-2021-43891) et dans les IDE JetBrains avant 2021.3.1 (CVE-2022-24346). Anthropic avait déjà modifié la séquence de démarrage de Claude Code (version 2.0.34) pour ne plus lancer git status avant l'acceptation du dialogue de confiance — mais Manifold rapporte que le même comportement de démarrage était de retour dans la version 2.1.193, publiée quelques mois plus tard. Comme le note le cabinet Cobalt dans un rapport de red team, l'abus de FSMonitor exploite une fonctionnalité légitime de Git, pas un bug : c'est le croisement de la flexibilité de Git et de l'automatisation des outils modernes qui transforme la simple ouverture d'un dépôt en exécution de code.

Point rassurant : aucune source ne rapporte d'exploitation active de ces failles, et aucune des CVE concernées ne figurait dans le catalogue KEV (vulnérabilités exploitées connues) de la CISA au 2 septembre.

Les vérifications recommandées

Les recommandations publiées pour les développeurs et les équipes utilisant des agents de code IA :

• inspecter .git/config avant d'ouvrir avec un agent un répertoire reçu de l'extérieur, en cherchant core.fsmonitor, core.hooksPath et attr.tree, ainsi que les filtres clean ou process ;
• exécuter git config --get core.fsmonitor dans tout dépôt arrivé sous forme de fichiers ;
• auditer la configuration globale avec git config --global --list | grep fsmonitor ;
• désactiver le paramètre par défaut : git config --global core.fsmonitor false.

Côté éditeurs, la parade consiste à neutraliser explicitement la configuration lors des appels en arrière-plan, par exemple avec git -c core.fsmonitor=false status. Enfin, les installations de Codex CLI figées sur une version antérieure à 0.131.0 restent exposées, alors que la version courante était la 0.152.1 au 2 septembre : la mise à jour des agents est donc une mesure immédiate à vérifier.