LONDON (IT BOLTWISE) – Manifold Security beschreibt eine Klasse von Schwachstellen, bei der die Git-Konfiguration in einem Repository vor dem Vertrauensprompt eines Coding-Agents Angreifercode ausführt. Betroffen sind mehrere Tools wie goose, Codex, Claude Code, Hermes Agent, Qwen Code und Grok Build, wobei ein Teil der Fixes erst nach Publikation nachlief. Entscheidend ist dabei nicht das Modellverhalten, sondern dass Git durch Werte aus der Datei.git/config über ein performance-Feature wie core.fsmonitor automatisch Kommandos startet. Die Ausführung erfolgt als der angemeldete Benutzer und benötigt keine zusätzliche Bestätigung im Agenten-Workflow.
Die zentrale Entdeckung wirkt auf den ersten Blick wie ein Randproblem: Ein KI-Coding-Agent muss gar nicht „böse“ sein, um kompromittiert zu werden. Wenn ein Repository seine eigene Git-Konfiguration mitliefert, kann dort ein Shell-Kommando hinterlegt sein, das Git beim Start von Hintergrundoperationen automatisch ausführt. Manifold Security fasst diese Angriffsform in mehreren Fällen unter dem Namen GitSpawn zusammen und zeigt, dass eine.git-Verzeichnisstruktur, die als Dateien übermittelt oder per Sync-Mechanismus verteilt wird, die Voraussetzung für die Manipulation schafft. Bei einem „normalen“ Clone wird das.git-Verzeichnis hingegen typischerweise neu aufgebaut und damit die präparierte Konfiguration nicht eins-zu-eins übernommen.
Technisch greift das Problem an einer Stelle an, die im Alltag kaum auffällt: core.fsmonitor ist eine Git-Performance-Einstellung. Sie enthält nicht nur Parameter, sondern kann auch den Befehl beschreiben, mit dem Git Änderungen identifiziert. Genau diese Eigenschaft führt zu einem klaren Ablauf: Sobald ein Agent Operationen wie git status oder git diff anstößt, aktualisiert Git seinen Index und verwendet dabei den in der Repository-Konfiguration gelesenen fsmonitor-Wert. Der entscheidende Punkt aus Manifolds Darstellung ist, dass die Agents solche Git-Aufrufe im Hintergrund durchführen, um Statusinformationen zu erheben, etwa um den aktiven Branch oder geänderte Dateien zu bestimmen. Dadurch bleibt die Repository-Konfiguration unangetastet, aber das eingebettete Kommando wird trotzdem gestartet.
In der Praxis ist das Timing besonders kritisch. Für OpenAI hat der Anbieter am selben Tag drei CVEs veröffentlicht, die Codex in dieser Angriffsklasse betreffen; genannt werden dabei CVE-2026-19592 für die Helper-Ausführung außerhalb des Codex-Command-Sandboxes sowie zwei weitere CVEs, die nach Angaben der Quelle dieselbe Logik bei Codex adressieren. Für CVE-2026-19592 beschreibt die OpenAI-Dokumentation, dass der Helper außerhalb des Command-Sandbox-Limits läuft und ohne Benutzerfreigabe/Prompt Angreifercode mit Benutzerrechten ausführt. Laut Beschreibung kann der Code die Dateien des Nutzers lesen, ändern oder löschen und auf Ressourcen zugreifen, die dem Account zur Verfügung stehen. Dass die Ausführung vor der eigentlichen Modellinteraktion passiert, ist dabei nicht nur eine theoretische Lücke: Die Quelle betont, dass der Payload-Start erfolgt, bevor der Agent überhaupt mit dem Modell kontaktiert wird.
Bei anderen Agents variiert die Einbettung in den UI-/Trust-Flow, aber das Muster bleibt konsistent: Der eigentliche Vertrauensmechanismus kommt zu spät. Bei Claude Code und Hermes Agent zündet die Nutzlast offenbar vor der Annahme des Workspace-Trust-Prompts; bei Qwen Code soll sie vor der Authentifizierung starten; bei Grok Build erfolgt sie sogar „auf dem ersten Keystroke“. Manifold nennt konkrete Versionen und zeigt, dass Fixes teils bereits verfügbar sind, teils aber zum Zeitpunkt der erneuten Tests noch nicht greifen: In goose etwa sind alle Versionen vor 1.44.0 betroffen, behoben in 1.44.0. Bei Codex CLI reichen die betroffenen Versionen von 0.102.0 bis 0.130.0, gefixt in 0.131.0; für die Codex-Desktopvarianten werden ebenfalls spezifische Build-Intervalle genannt. Für Claude Code hebt Manifold den core.fsmonitor-Pfad als bestätigt und per 2.1.196 als behoben hervor, während ein zweiter Pfad über „claude ultrareview“ bis 2.1.252 noch aktiv gewesen sein soll.
Auch wenn keine der in der Quelle beschriebenen Fälle mit einer realen Ausnutzung belegt ist, unterstreicht die Veröffentlichung den strategischen Marktpunkt: Das Sicherheitsproblem liegt nicht im Modell, sondern in der „normalen Verrohrung“ unterhalb der Agentenlogik, also in den Subprozessen, die bei Session-Startup gestartet werden. Die Quelle ordnet das zudem in eine größere Reihe ähnlicher Erkenntnisse ein: Sonar habe im April denselben Sink identifiziert und dabei eine bereits erfolgte Sequenzverschiebung bei Anthropic erwähnt, während zuvor auch bekannte Trust-Dialog-Umgehungen in anderen IDE-Kontexten auftauchten. Außerdem zeigt Manifold nachträglich, dass mehrere Berichte Duplikate anderer Forschungsteams waren und Fix-Status sich über Zeitachsen hinweg teils erst im Detail klärt. Interessant ist dabei der praktische Kontext: Für Cybersicherheitsteams ist die reine CVE-Liste zwar hilfreich, die eigentliche Abwehr hängt aber am Verhalten beim Öffnen eines Repositorys als Dateienpaket.
Für die Absicherung schlägt Manifold Prüf- und Gegenmaßnahmen vor, die weniger auf komplexe Erkennung als auf deterministische Checks setzen. Der direkte Startpunkt ist der Blick in.git/config auf Einträge wie core.fsmonitor, core.hooksPath und attr.tree, bevor man einen erhaltenen Ordner mit einem Agenten öffnet. Zusätzlich empfiehlt die Quelle, sich mit git config –get core.fsmonitor im betroffenen Repository abzusichern und die eigene globale Konfiguration zu auditieren, etwa über git config –global –list | grep fsmonitor. Wer Risiko minimieren will, kann den Parameter global deaktivieren, beispielsweise durch git config –global core.fsmonitor false, wobei der Text zugleich darauf hinweist, dass Vendoren von Agents die Konfiguration bei Hintergrundaufrufen bereits teils abschirmen, zum Beispiel über Kommandolinien-Freigaben wie git -c core.fsmonitor=false status. Als konkrete Einordnung nennt die Quelle für Codex CLI eine aktuelle Version von 0.152.1 (Stand 2. September) und betont, dass Installationen unterhalb von 0.131.0 weiterhin exponiert bleiben.
Aus Branchenperspektive verschiebt sich damit der Fokus der Agentensicherheit: „Workspace Trust“ allein reicht offenbar nicht, wenn darunter noch Git- und Tooling-Schritte vor der Freigabe laufen. Für Entwickler und Plattformteams ist die Konsequenz klar: Sie müssen Startup-Pipelines so umbauen, dass keine Repository-seitigen Konfigurationswerte ausgeführt werden, bevor der Benutzer die Vertrauensentscheidung abgegeben hat, und dass Pfade wie Statusabfragen oder Index-Refresh nicht als Nebenwirkung angriffsfähig bleiben. Gleichzeitig zeigt die Attacke, wie eng Git-Funktionalität und Automatisierung in modernen IDE/Agent-Workflows gekoppelt sind: Ein Feature, das eigentlich nur die Geschwindigkeit verbessert, wird in der falschen Reihenfolge zum Ausführungsvektor. Damit wird die Sicherheitsarbeit für KI-Code-Agenten wieder stärker zur Frage der „Orchestrierung“ statt der reinen Modellqualität.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Maliziöse.git-Konfigurationen lassen KI-Code-Agenten Angreifercode ausführen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Maliziöse.git-Konfigurationen lassen KI-Code-Agenten Angreifercode ausführen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Maliziöse.git-Konfigurationen lassen KI-Code-Agenten Angreifercode ausführen« bei Google Deutschland suchen, bei Bing oder Google News!