Промпт бичихээс ч өмнө: Claude Code, Codex, Cursor зэрэг 7 AI агентыг нөмөрсөн "GitSpawn" эмзэг байдал илэрлээ

Хөгжүүлэгч бүр сүүлийн үед Claude Code, Codex CLI, Cursor, Goose зэрэг автоном кодинг агентуудыг өдөр тутмын ажилдаа өргөн ашиглах болсон билээ. Гэвч шинээр нээгдсэн аюулгүй байдлын нэгэн цоорхой энэхүү дадлыг үндсээр нь эргэн харахад хүргэж байна.

Аюулгүй байдлын Manifold Security судалгааны баг "GitSpawn" нэртэй эмзэг байдлын ангиллыг нийтэд дэлгэлээ. Хамгийн сонирхолтой бөгөөд түгшүүртэй нь: Энэ дайралтад ямар ч Prompt Injection, Jailbreak, эсвэл хиймэл оюуны моделийн алдаа огт оролцоогүй. Асуудал ердөө л бидний олон жил найдвартай ашиглаж ирсэн Git-ийн суурь сантекст, түүнийг ажиллуулдаг агентын бүтцэд байна.

Цоорхой хаанаас үүдэв? `core.fsmonitor` механизмын нууц

Хөгжүүлэгч AI агентыг ямар нэгэн төслийн хавтсанд эхлүүлэх үед агент юу хийдэг вэ? Хамгийн түрүүнд ямар branch дээр байгаа, ямар файлууд өөрчлөгдсөнийг (dirty state) мэдэхийн тулд арын горимд git status, git diff гэх мэт командыг шууд subprocess байдлаар дууддаг. Энэ бол төслийн контекстийг цуглуулах хэвийн үйлдэл юм.

Гэтэл Git системд асар том репозиторууд дээр дискний файлуудыг нэг бүрчлэн сканнердахгүйн тулд гаднын мониторинг хэрэгсэл дуудаж ажиллуулдаг core.fsmonitor гэх тохиргооны түлхүүр байдаг.

Хамгийн гол асуудал нь:

core.fsmonitor-ийн утга нь Git систем өөрчлөгдсөн файлуудыг шалгахын тулд автоматаар ажиллуулдаг системийн команд (binary/script) байдаг.
Git энэхүү утгыг төслийн доторх локал .git/config файлаас шууд уншдаг.
Хэрэв халдагч уг файлд хортой скрипт бичиж үлдээсэн бол Git-ийн index шинэчлэх ямар ч комманд (git status, git diff) тухайн хортой кодыг шууд дуудан ажиллуулдаг.

"Workspace Trust" цонхноос ч өмнө амжиж ажиллах урхи

Орчин үеийн олон IDE болон агент хэрэгслүүд аюулгүй байдлыг хангах үүднээс "Энэ ажлын талбарт итгэх үү?" (Workspace Trust) гэсэн асуултыг хэрэглэгчээс асуудаг эсвэл тусдаа Sandbox орчинд ажилладаг гэж сурталчилдаг.

Гэтэл GitSpawn нь агентуудын аюулгүй байдлын давхаргыг бүрэн тойрч гарсан. Агентууд хэрэглэгчид "Trust this directory?" асуултыг дэлгэц дээр харуулахаас ч өмнө хавтсыг нээнгүүтээ арын горимд git status-ийг дуудчихдаг байв.

Claude Code болон Hermes Agent: Хэрэглэгч workspace trust-ийг "Yes" гэж зөвшөөрөхөөс ч өмнө ажилласан.
Qwen Code (Alibaba): Хэрэглэгч системд нэвтэрч амжаагүй (authenticated болоогүй) байхад л арын команд гүйсэн.
Grok Build (xAI): Хэрэглэгчийн ганцхан товчлуур дарах (first keystroke) үйлдэл дээр л код дуудагдсан.

Халдагчийн хортой код хөгжүүлэгчийн үндсэн үйлдлийн систем дээр, түүний бүх эрхтэйгээр (developer privileges) ямар ч sandbox, хяналтын хязгаарлалтгүйгээр ажиллана. Үүний дүнд хөгжүүлэгчийн локал орчинд хадгалагдаж буй SSH түлхүүрүүд, AWS/GCP үүлэн дэд бүтцийн token-ууд, shell config дахь нууц үгүүд шууд алдагдах эрсдэл үүссэн юм.

Халдлага хэрхэн таны машинд хүрэх вэ?

Энгийн git clone хийх үед Git нь аюулгүй байдлын үүднээс тухайн репозиторын хувийн .git/config-ийг татаж суулгадаггүй, зөвхөн цэвэр шинэ тохиргоо үүсгэдэг. Гэвч бодит амьдрал дээр бид зөвхөн git clone хийдэггүй:

Хамтран ажиллагч, эсвэл интернетээс татсан ZIP архивыг задлах,
Google Drive, Dropbox, эсвэл дундын хавтаснаас төслийн кодыг .git хавтастай нь татаж авах,
USB флаш зөөгчөөр дамжуулан авсан төслийг нээх үед локал .git/config файл нь хэвээр үлддэг.

Хөгжүүлэгч зүгээр л татаж авсан ZIP файлаа задлаад, тухайн хавтас руу CLI-ээр орж AI агент дуудах төдийд л машин нь бүрэн хакердагдана.

Нөлөөлөлд өртсөн хэрэгслүүд ба шинэчлэлтийн байдал

Судлаачид 7 томоохон агент дээр 8 өөр цоорхойг шалгасан ба одоогоор зарим компаниуд яаралтай шинэчлэлтүүд (patch) гаргаад байна:

Goose: 1.44.0 хувилбараар засагдсан (CVE-2026-72718).
OpenAI Codex CLI & Desktop: 0.131.0 хувилбараар засагдсан (CVE-2026-19592).
Cursor: Шуурхай шинэчлэлт хийгдсэн.
Claude Code (Anthropic): core.fsmonitor-той холбоотой замыг 2.1.196 хувилбараар хаасан боловч тусдаа review горим дахь хоёрдогч зам нээлттэй үлдсэн тухай дурдагдаж байна.
Hermes Agent, Qwen Code, Grok Build: Тайлан нийтлэгдэх үед бүрэн засагдаагүй эсвэл хариу өгөөгүй хэвээр байв.

Хөгжүүлэгчдэд өгөх зөвлөмж

Хэрэв та өдөр тутмын ажилдаа AI CLI агент, Cursor зэрэг хэрэгслийг байнга ашигладаг бол дараах зүйлсийг анхаарна уу:

Агент хэрэгслүүдээ нэн даруй шинэчил: Ашиглаж буй CLI болон IDE өргөтгөлүүд хамгийн сүүлийн хувилбар дээр байгаа эсэхийг баталгаажуул.
Гаднын эх сурвалжийн төслийн .git хавтсыг шалга: Гаднаас ирсэн ZIP эсвэл дундын сүлжээний фолдеруудыг нээхээс өмнө .git/config дотор core.fsmonitor, core.hooksPath гэсэн мөр байгаа эсэхийг нягтал.
Агентуудыг тусгаарлагдсан орчинд (Dev Container/VM) ажиллуулах: Итгэлгүй, шалгагдаагүй төслүүдийг өөрийн үндсэн Host үйлдлийн систем дээр бус Docker container эсвэл тусдаа VM дотор нээж агентаар удирдуулах нь хамгийн найдвартай хамгаалалт болно.

AI хөгжүүлэлтийн хурдац хэчнээн өндөр байгаа ч түүний суурь нь уламжлалт системийн команд, файлын систем дээр тогтож байдаг гэдгийг GitSpawn бидэнд санууллаа.

Эх сурвалж: Manifold Security Research, The Hacker News, Cloud Security Alliance (CVE-2026-19592, CVE-2026-72718).