セキュリティ企業Manifold Securityが、AIコーディングエージェント（自然言語の指示を受けてコード編集やコマンド実行を自律的に行うAIツール）に共通する新種の脆弱性「GitSpawn」を公開しました。細工したリポジトリを開くだけで、プロンプトの入力や承認操作なしに任意のコードが実行される恐れがあります。Claude Code、OpenAI Codex、Cursorなど主要な7つのツールが影響を受け、開発者のSSH鍵やクラウド認証情報が狙われるリスクが指摘されています。
背景と文脈
AIコーディングエージェントは近年、開発者の生産性を大きく引き上げる存在として急速に普及しています。プロジェクトフォルダを開くだけで、AIがコードベース全体を把握し、修正提案やコマンド実行まで自動でこなしてくれる利便性は大きな魅力です。ただしその裏側では、エージェントがユーザーの許可を得ないまま裏でさまざまなコマンドを実行しており、そこに攻撃の糸口が潜んでいました。
Manifold Securityの研究者は、CLI(コマンドラインインターフェース)型のコーディングエージェントが起動時に実際に何をしているのかを調査する中で今回の脆弱性を発見しました。調べた対象のほぼすべてのエージェントが、プロジェクトの状況を把握するために、バックグラウンドでgit statusやgit diffといったGitコマンドを静かに実行していたといいます。開発者が意識しないところで行われるこの「context把握」の処理こそが、攻撃の突破口になりました。
こうした背景処理は、AIエージェントの応答を素早く的確にするために欠かせない仕組みでもあります。ファイル一覧や差分、ブランチの状態を先読みしておけば、開発者が質問した瞬間に的確な回答を返せるからです。裏を返せば、便利さを追求するほど、ユーザーが意識しないところで実行されるコマンドの数が増え、攻撃対象領域(アタックサーフェス)が広がるという構造的な緊張関係が今回の一件で浮き彫りになりました。
技術/ビジネス面
Gitにはcore.fsmonitorという性能向上のための設定項目があり、リポジトリ側からファイル監視を行う外部プログラムを指定できます。この設定はリポジトリの.git/configに記述されており、通常のGit操作でインデックスが更新されるたびに、指定されたプログラムが自動的に呼び出される仕組みです。攻撃者はこの仕組みを悪用し、悪意あるプログラムをcore.fsmonitorに登録した「罠付き」リポジトリを用意します。開発者がそのリポジトリをAIコーディングエージェントで開くと、エージェントが状況把握のために実行するgit statusが、サンドボックスの外側で、しかも信頼確認のプロンプトが出るより前にこの罠を起動してしまうのです。
影響を受けるのはClaude Code、OpenAI Codex、Cursor、Grok Build、Goose、Hermes Agent、Qwen Codeの7ツールです。悪用に成功すると、攻撃者は開発者本人としてサンドボックスの外で任意のコードを実行でき、SSH鍵やシェル設定に保存されたトークン、環境変数上のクラウド認証情報、さらにはディスク上のすべてのリポジトリへのアクセスまで奪われる恐れがあります。研究チームはこの問題に2件のCVE(共通脆弱性識別子)を割り当てており、開発元の対応が遅れたHermes Agentについては、ベンダーへの6回の連絡が実らなかったため独自にCVE番号を発行したと説明しています。
これからどうなるか
Manifold Securityの発表時点で、GoogleのGooseはすでに修正版(v1.44.0)を配布済みですが、7ツールのうち4つの経路は公開時点でまだ未修正だったとされています。Claude Codeはバージョン2.1.193で脆弱性が確認され、2.1.196で修正されたと報告されています。手元の開発環境で複数のAIコーディングエージェントを併用している場合は、まず各ツールを最新版に更新し、バージョン番号を確認することが最優先の対応になります。
さらに、リポジトリ単位の対策としてgit config --global core.fsmonitor falseを実行しておけば、ツール側の修正を待たずに攻撃の入り口そのものを塞ぐことができます。ふだん出所の分からないリポジトリをクローンして動かす機会が多い開発者ほど、この設定変更を今すぐ試す価値がありそうです。今後もAIエージェントが起動時に自動実行するコマンド群は、同種の攻撃対象として引き続き調査対象になるとみられます。
まとめ
GitSpawnは、AIコーディングエージェントが背後で実行するGitコマンドの挙動を突いた新種の脆弱性です。プロンプトも承認も不要で任意コード実行に至る深刻さから、対象ツールを使う開発者は速やかなアップデートと設定確認が求められます。「フォルダを開いただけ」で被害に遭う可能性がある点を、日々の開発習慣の中で意識しておく必要がありそうです。
参考リンク
アイキャッチ画像: Photo by Christian Englmeier on Unsplash
