Malicious .git Configs Can Make Claude, Codex, Cursor, and Other AI Agents Run Attacker Code
2026-09-02
La empresa de seguridad Manifold Security reveló una falla que afecta a varios agentes de IA de línea de comandos (herramientas que ayudan a programar usando inteligencia artificial). El problema ocurre cuando un desarrollador abre un repositorio que ha sido entregado como archivos (por ejemplo, en un archivo ZIP, una memoria USB o una carpeta compartida) y que contiene una configuración de Git maliciosa en su directorio .git/config.
El ataque aprovecha una función de Git llamada 'core.fsmonitor', que se usa para identificar archivos cambiados. Un atacante puede configurar un comando malicioso en esta opción y, cuando el agente de IA intenta actualizar el índice del proyecto (usando comandos como 'git status' o 'git diff'), el código del atacante se ejecuta automáticamente en la máquina del usuario, con sus mismos permisos y sin pedir aprobación.
Varios productos ya han lanzado parches. Goose se corrigió en la versión 1.44.0, Codex en la versión 0.131.0 (CLI) y 26.519.22136 (macOS), y Claude Code en la versión 2.1.196. Sin embargo, otros agentes como Hermes Agent, Qwen Code y Grok Build fueron reportados como aún vulnerables al momento de la publicación de la investigación.
Es importante notar que este riesgo no surge de un error en el modelo de inteligencia artificial en sí, sino en la 'fontanería' o procesos automáticos que el agente ejecuta en el sistema operativo para entender el contexto del proyecto.
Qué significa para una pyme colombiana y cucuteña: Si su equipo de desarrollo o de sistemas utiliza herramientas de IA para programar (como Cursor, Claude Code o Codex), asegúrese de que estén actualizadas a las versiones más recientes para evitar que un archivo descargado de internet tome el control de sus computadores. Como medida de precaución, evite abrir carpetas de proyectos recibidas por medios externos (como un USB o un ZIP de un cliente) sin antes revisar que no tengan configuraciones extrañas en su carpeta oculta .git. Puede desactivar esta función de riesgo ejecutando el comando 'git config --global core.fsmonitor false' en su terminal.