GitSpawn ataca Claude Code, Cursor e Codex: como um repositório de git sequestra seu agente de IA sem clique

A empresa de segurança Manifold Security divulgou em 2 de setembro uma classe de falha batizada de GitSpawn. Um repositório de código comum, sem nenhum comando digitado e sem clique de aprovação, roda código arbitrário na máquina de quem abre a pasta com um agente de IA. Sete agentes populares de código com IA (Claude Code, Cursor, OpenAI Codex, goose, Qwen Code, Grok Build e Hermes Agent) foram encontrados vulneráveis, e quatro das oito falhas reportadas ainda seguiam sem correção no reteste de 1 de setembro, segundo o relatório da Manifold Security e a cobertura do The Hacker News. Esse artigo lê os dois materiais originais com o recorte do que muda pra quem cria software todo dia dentro de um desses agentes.

O que é o GitSpawn?

GitSpawn é uma classe de vulnerabilidade em que a própria configuração de um repositório git dispara execução de código quando um agente de IA roda comandos git em segundo plano pra entender o projeto. Isso acontece fora de qualquer sandbox e antes de qualquer tela de confirmação de confiança.

A Manifold Security descreve o gatilho assim:

Os agentes chamam esses comandos em segundo plano pra descobrir em qual branch estão e quais arquivos mudaram, deixando a configuração do repositório intocada.

Ou seja: o agente não precisa ser instruído a fazer nada de errado. Ele só precisa abrir a pasta e rodar a checagem de rotina que qualquer assistente de código roda no primeiro segundo pra saber o estado do projeto.

Como o ataque funciona na prática?

O vetor principal explora o core.fsmonitor, uma configuração de performance do git que aponta pra um programa auxiliar externo, executado automaticamente sempre que o índice do repositório é atualizado. Essa configuração mora dentro do .git/config do próprio repositório, então quem cria o repositório malicioso decide o que entra ali.

Quando o agente de IA roda comandos de rotina como git status ou git diff pra descobrir a branch atual e quais arquivos mudaram, essas chamadas disparam a atualização de índice, e o git executa o comando definido em core.fsmonitor com os privilégios do usuário logado. Nenhuma permissão extra é pedida porque, do ponto de vista do sistema, é apenas o git fazendo o que sempre fez.

Em quatro dos casos testados o comando malicioso roda antes mesmo de qualquer etapa de segurança do agente. Segundo a Manifold Security, em Claude Code e Hermes Agent isso acontece antes da tela de confiança do workspace, em Qwen Code antes da autenticação do usuário, e em Grok Build no primeiro toque de tecla.

Quais agentes já corrigiram, e quais ainda não?

Das 8 falhas catalogadas pela Manifold Security, 4 seguiam abertas na data de publicação:

Agente	Reportado em	Status em 1/set	CVE
goose	13/jul	Corrigido (1.44.0)	CVE-2026-72718
OpenAI Codex	20/jul	Corrigido	CVE-2026-19592
Cursor	8/jul	Corrigido	-
Claude Code (core.fsmonitor)	26/jun	Corrigido (2.1.196)	CVE-2026-55607
Claude Code (comando ultrareview)	15/jul	Não corrigido (2.1.252)	-
Hermes Agent	20/jul	Não corrigido (0.21.0)	CVE-2026-71963
Qwen Code	7/jul	Não corrigido (0.22.3)	-
Grok Build	14/jul	Não corrigido (1.0.13)	-

O caso do Claude Code chama atenção por ser dois bugs distintos no mesmo produto. O primeiro, via core.fsmonitor, já foi corrigido na versão 2.1.196. O segundo, que abusa de uma chave de configuração diferente através do comando ultrareview, seguia executando comando de repositório ainda na versão 2.1.252, testada em 1 de setembro pela Manifold Security.

Vale registrar um dado a mais na linha do tempo: a versão 2.0.34 do Claude Code, lançada em 5 de novembro de 2025, já mitigava esse tipo de comportamento no startup. O mesmo padrão de execução voltou a aparecer na versão 2.1.193, lançada em 25 de junho de 2026. Corrigir uma vulnerabilidade uma vez não impede ela de voltar numa reescrita futura do mesmo trecho de código.

Um clone comum do GitHub te deixa exposto?

Não, na maioria dos casos. A exploração exige que o repositório chegue com a pasta .git inteira e intocada, porque um git clone normal não copia a configuração do repositório de origem, só o histórico de commits e os arquivos versionados.

O que carrega o .git/config malicioso até sua máquina são outras formas de transporte: um arquivo .zip compartilhado, uma pasta em drive compartilhado, uma pasta sincronizada (Dropbox, Google Drive, Nextcloud), um pendrive, ou um dev container pré-montado que alguém te passou pronto. Se o projeto sempre chegou até você via git clone de um repositório público ou do seu próprio GitHub, o vetor principal do GitSpawn não se aplica.

Como se proteger se você usa Claude Code, Cursor ou outro agente?

Primeiro, atualize. Claude Code, Cursor, Codex e goose já têm correção disponível: manter a versão do agente em dia fecha a maior parte do problema.

Segundo, audite antes de abrir uma pasta que chegou por zip, drive compartilhado, pendrive ou container pronto (não por git clone direto):

git config --get core.fsmonitor

Se o comando devolver algo diferente de vazio, o valor é o programa que será executado. Rode também:

git config --global --list | grep fsmonitor

Terceiro, quem quer uma trava mais ampla pode desativar a configuração globalmente, aceitando perder o ganho de performance que ela oferece:

git config --global core.fsmonitor false

Enquanto Hermes Agent, Qwen Code e Grok Build não lançam correção, e enquanto a segunda falha do Claude Code (via ultrareview) segue aberta, o cuidado extra vale principalmente pra quem recebe repositórios de terceiros fora do fluxo normal de git clone.

O que essa corrida revela sobre segurança em agentes de IA?

O padrão que mais chama atenção aqui não é a falha em si. É o fato de o Claude Code já ter corrigido esse exato comportamento em novembro de 2025 e o mesmo tipo de bug ter voltado sete meses depois, num comando novo (ultrareview) que nem existia na primeira correção. Isso mostra que a velocidade de lançar recurso novo em agente de IA anda mais rápido que a checagem básica que evitou o mesmo problema da vez anterior.

Pra quem cria produto com Claude Code, Cursor ou qualquer outro desses agentes, a lição prática é simples: tratar o agente como parte da superfície de ataque do seu ambiente de desenvolvimento, e não só como uma ferramenta de produtividade. Isso significa manter o agente atualizado com a mesma disciplina que se atualiza uma dependência de produção, e desconfiar de qualquer pasta de projeto que chegou por um caminho diferente de git clone.

Vale o contraponto: não há registro de exploração ativa dessas falhas até a publicação do relatório, e o catálogo de vulnerabilidades exploradas da CISA não lista nenhum dos CVEs do GitSpawn até 2 de setembro. O risco é real, mas ainda teórico em escala.

A Formação em Vibe Coding do ibe.IA ensina a sair da ideia e publicar o primeiro app na mesma semana, com Claude Code, Cursor e as demais ferramentas certas pra quem cria produto com IA, incluindo o cuidado que separa quem constrói rápido de quem constrói rápido e seguro.

Conheça a Formação em Vibe Coding

E se essa leitura te ajudou a entender o que está acontecendo, segue a ibe.IA no Instagram (@ibe.ia) que toda semana sai conteúdo desse jeito.