AI кодинг агентуудад илэрсэн ноцтой цоорхой: "GitSpawn" ба хортой .git тохиргоо хэрхэн таны төхөөрөмжийг эзэлж болох вэ?

Хөгжүүлэгчдийн өдөр тутмын амьдралд терминалын болон IDE-д суурилсан бие даасан AI агентууд (Coding Agents) хүчтэй нэвтэрч байна. Бид тэднээр кодоо бичүүлж, төслийн бүтцийг шинжлүүлж, алдаагаа засуулдаг. Гэвч AI агент таны өмнөөс чимээгүйхэн хийдэг үйлдлүүд нь кибер халдлагын цоо шинэ замыг нээж болзошгүйг харуулсан ноцтой мэдээлэл цацагдлаа.

Кибер аюулгүй байдлын Manifold Security баг сүүлийн өдрүүдэд "GitSpawn" хэмээн нэрлэсэн эмзэг байдлын цувралыг илрүүлэн нийтэд зарласан бөгөөд энэ нь Claude Code, OpenAI Codex, Cursor, Grok Build, Qwen Code, Goose зэрэг зах зээлийн 7 гол AI агентыг хамарч байна.

GitSpawn гэж юу вэ, хэрхэн ажилладаг вэ?

Хөгжүүлэгч ямар нэг төслийн фолдер луу терминалаар орж AI агентаа дуудах үед уг агент тухайн репозиторын ерөнхий нөхцөл байдал, өөрчлөгдсөн файлуудыг ойлгохын тулд цаанаа чимээгүйгээр Git-ийн үндсэн коммандуудыг (жишээ нь git status, git diff) ажиллуулдаг. Энэ нь уул нь хэвийн үйлдэл юм.

Гэвч Git нь гүйцэтгэлийг сайжруулахад зориулагдсан core.fsmonitor хэмээх тусгай тохиргоог дэмждэг. Энэхүү тохиргоо нь Git-ийн дотоод индекс шинэчлэгдэх бүрт файлын өөрчлөлтийг хурдан хянах гаднын программ (helper process)-ыг автоматаар ажиллуулах зориулалттай бөгөөд тухайн утгыг төслийн дотоод .git/config файлаас уншдаг.

Хэрэв халдагч .git/config файл дотор хортой тушаал шингээж бэлтгэсэн төслийг хөгжүүлэгч рүү илгээвэл юу болох вэ?

AI агент тухайн хавтсанд эхлэх төдийд л чимээгүйхэн git status дуудах бөгөөд үүний дагуу Git нь халдагчийн бэлдсэн хортой тушаалыг хөгжүүлэгчийн төхөөрөмж дээр шууд ажиллуулна.

Аюулгүй байдлын хамгаалалт ба Sandbox-ийг тойрч гарсан нь

Энэхүү цоорхойн хамгийн аюултай тал нь хөгжүүлэгч өөрөө ямар ч комманд бичээгүй, prompt илгээгээгүй, бүр баталгаажуулах товч дараагүй байхад халдлага хэрэгждэгт оршино:

Workspace Trust-аас өмнө: Claude Code болон Hermes Agent дээр ажлын орчныг найдвартай эсэхийг лавлах "Workspace Trust" асуулга гарч ирэхээс ч өмнө код ажиллаж амждаг.
Нэвтрэлтээс ч өмнө: Qwen Code дээр хэрэглэгч системд нэвтрэх (authentication) алхам хийгээгүй байхад, харин Grok Build дээр хөгжүүлэгч ердөө ганцхан товч дарах мөчид комманд гүйцэтгэгддэг.
Sandbox-ийн гадуур: Хортой скрипт нь AI агентын өөрийнх нь тохируулсан аюулгүй хайрцаг буюу sandbox-ийн гадуур, үйлдлийн систем дээр нэвтэрсэн үндсэн хэрэглэгчийн бүх эрхтэйгээр (full user privileges) ажилладаг.

Энэ нь халдагч таны систем дэх бүх файлд хандах, устгах, өөрчлөхөөс гадна ~/.ssh түлхүүр, үүлэн дэд бүтцийн нууц token-уудыг хулгайлах боломжтой гэсэн үг юм.

OpenAI компани энэхүү асуудлыг нэн даруй хүлээн зөвшөөрч, Codex CLI болон Codex Desktop-д зориулан CVE-2026-19592, CVE-2026-19593 зэрэг албан ёсны цоорхойн ангиллыг бүртгэн зарласан байна.

Яагаад энгийн `git clone` хийхэд энэ эрсдэл үүсдэггүй вэ?

Олон хөгжүүлэгчид "Бид өдөр бүр л Git ашигладаг, яагаад өмнө нь энэ асуудал үүсээгүй юм бэ?" гэж гайхаж магадгүй.

Учир нь стандарт git clone, git fetch, git pull коммандууд нь алсын серверээс (GitHub, GitLab г.м) зөвхөн код болон commit түүхийг татдаг бөгөөд алсын .git/config файлыг хэзээ ч хэрэглэгчийн локал машинд хуулдаггүй хамгаалалттай байдаг.

Харин GitSpawn халдлага хэрэгжих ганц нөхцөл нь тухайн төсөл дотоод .git хавтастайгаа цуг файл хэлбэрээр хөгжүүлэгчийн гарт ирэх явдал юм. Бодит амьдрал дээр бид дараах тохиолдолд төслийг бүрэн эхээр нь татаж авдаг:

Хамтран ажиллагч эсвэл аутсорсинг хөгжүүлэгч ZIP архив хэлбэрээр төслөө илгээх
Google Drive, Dropbox, iCloud гэх мэт синхрончлогдсон дундын фолдероор төсөл дамжих
Флаш дискээр (USB) төслийн фолдер солилцох

Ийм байдлаар ирсэн төслийг задлан терминал дээрээ очоод AI агент ажиллуулахад л та шууд хохирогч болох эрсдэлтэй.

Хөгжүүлэгчид өөрсдийгөө хэрхэн хамгаалах вэ?

Энэхүү халдлагаас сэргийлэхийн тулд дараах алхмуудыг яаралтай хэрэгжүүлэхийг аюулгүй байдлын шинжээчид зөвлөж байна:

AI хэрэгслүүдээ нэн даруй шинэчлэх: Goose, Cursor болон Claude Code-ийн сүүлийн хувилбаруудад эхний ээлжийн засварууд орсон тул ашиглаж буй хэрэгслүүдээ шинэчлээрэй. Гэхдээ зарим агентууд одоог хүртэл бүрэн засвар авч амжаагүй байгааг санахад илүүдэхгүй.
Гаднаас ирсэн ZIP төслүүдийг шууд AI-аар бүү нээ: Хэрэв танихгүй эсвэл бүрэн итгэлгүй эх сурвалжаас ирсэн ZIP файлыг задлан ажиллах шаардлагатай бол тухайн фолдер доторх .git/config файлыг нээж шалгах хэрэгтэй. Хэрэв дотор нь fsmonitor, hooksPath эсвэл сэжигтэй filter тохиргоонууд байвал маш болгоомжтой хандаарай.
Шаардлагагүй бол .git санг цэвэрлэх: Гаднаас ирсэн архивын хуучин Git түүх чухал биш бол .git хавтсыг бүрмөсөн устгаад, шинээр git init хийн эхлүүлэх нь хамгийн найдвартай энгийн арга юм.

Дүгнэлт

GitSpawn нь хиймэл оюун ухааны загваруудын өөрсдийнх нь алдаа биш бөгөөд харин агентын ард ажилладаг энгийн үйлдлийн системийн дэд хэрэгслүүд (subprocesses) болон уламжлалт Git тохиргооны харилцан үйлчлэлээс үүдэлтэй архитектурын сорилт юм.

Бид AI агентуудад улам их эрх чөлөө, файл унших болон комманд бичих эрх олгохын хэрээр тэдгээрийн эхлэх цэг дээрх хамгаалалт, сандбокс тусгаарлалт ямар чухал болохыг уг явдал тод санууллаа.

Эх сурвалж: The Hacker News, Manifold Security Research, NIST National Vulnerability Database (CVE-2026-19592).