Der Sicherheitsdienstleister Manifold Security legt am 1. September 2026 acht Schwachstellen namens GitSpawn offen, die sieben verbreitete KI-Coding-Agenten betreffen. Ein präpariertes Git-Verzeichnis genügt, damit beim ersten automatischen Git-Befehl Programmcode mit den vollen Rechten der Entwicklerin oder des Entwicklers läuft – ganz ohne Bestätigung. Vier der acht Lücken sind inzwischen geschlossen, vier bleiben nach Angaben der Forschenden offen.
GitSpawn nutzt eine harmlose Git-Konfiguration als Einfallstor
KI-Coding-Agenten wie Claude Code, OpenAI Codex oder Cursor rufen beim Start automatisch Git-Befehle wie git status oder git diff auf, um Branch und geänderte Dateien zu erfassen. Genau dabei liest Git die Einstellung core.fsmonitor aus der Datei .git/config – ein an sich nützliches Leistungsmerkmal, das ein Hilfsprogramm zur schnelleren Erkennung geänderter Dateien benennt. Weil ein Repository diese Einstellung selbst mitbringen kann, reicht ein präpariertes Git-Verzeichnis, um dort ein beliebiges Kommando einzutragen.
Aktualisiert der Agent im Hintergrund den Git-Index, führt Git dieses Kommando aus – außerhalb der Sandbox des Agenten und ohne jede Bestätigungsabfrage. Der Trick funktioniert nur, wenn der Ordner mitsamt echtem .git-Verzeichnis übertragen wird, etwa über ein ZIP-Archiv, einen USB-Stick oder einen synchronisierten Ordner. Ein gewöhnliches Klonen mit git clone entfernt die riskante Konfiguration dagegen automatisch.
Bei mehreren Agenten läuft der Schadcode noch vor jedem Sicherheitsdialog: Bei Claude Code und Hermes Agent bereits vor der Abfrage, ob dem Arbeitsbereich vertraut wird, bei Qwen Code sogar vor der Anmeldung und bei Grok Build schon beim ersten Tastendruck im Editor.
Vier Hersteller patchen, drei lassen die Lücke offen
Nach Angaben von Manifold Security haben Anthropic bei Claude Code, OpenAI bei Codex, Anysphere bei Cursor und Block bei seinem quelloffenen Agenten Goose die gemeldete Variante inzwischen geschlossen. Für Goose vergab GitHub mit CVE-2026-72718 einen CVSS-Wert von 7,0, behoben in Version 1.44.0. OpenAI bestätigt in einer eigenen Korrektur am Codex-Quellcode, dass das Hilfsprogramm außerhalb der Befehls-Sandbox und ohne Freigabedialog läuft und dabei Dateien lesen, verändern oder löschen kann.
Offen bleiben laut Manifold Security dagegen Qwen Code von Alibaba, Grok Build von xAI und Hermes Agent von Nous Research; für Letzteren existiert mit CVE-2026-71963 zwar eine Kennung, aber kein Patch. Alibabas Sicherheitsteam habe den Fund zwar angenommen, bislang jedoch nicht ausgeliefert. xAI schloss die Meldung eigenen Angaben zufolge als Duplikat eines älteren, nur informativ eingestuften Berichts, und Nous Research habe auf sechs Kontaktversuche über fünf Kanäle nicht reagiert.
Grok Build war bereits zuvor aufgefallen: Der Agent lud komplette Repositories auf konzerneigene Server hoch. Mit GitSpawn kommt nun eine zweite, unabhängig gemeldete Schwachstelle hinzu.
Sofortmaßnahmen ersetzen den fehlenden Patch
Gelingt der Angriff, erhält ein Fremder laut Manifold Security dieselben Rechte wie die angemeldete Entwicklerin oder der angemeldete Entwickler: Zugriff auf SSH-Schlüssel, in der Umgebung hinterlegte Cloud-Zugangsdaten, Tokens aus Shell-Konfigurationsdateien und sämtliche lokal gespeicherten Repositorys. Die ersten Meldungen an die Hersteller reichen bis zum 26. Juni 2026 zurück, die meisten Korrekturen folgten im Juli, die öffentliche Offenlegung erst am 1. September 2026.
Wer eines der betroffenen Werkzeuge einsetzt, kann die Konfiguration jedes erhaltenen Repositorys vor dem Öffnen prüfen: Verdächtig sind Einträge zu core.fsmonitor, core.hooksPath oder attr.tree in der Datei .git/config. Manifold Security empfiehlt zusätzlich, die Funktion systemweit abzuschalten, per git config —global core.fsmonitor false.
Herstellerseitig schlagen die Forschenden vor, interne Git-Aufrufe grundsätzlich mit der Zusatzoption -c core.fsmonitor=false abzusichern, wie es Codex nach dem Patch nun tut. Eine öffentlich dokumentierte, bereits laufende Ausnutzung der Lücke außerhalb der Testumgebung von Manifold Security ist bislang nicht bekannt.
Entscheidend wird, ob Qwen Code, Grok Build und Hermes Agent nachziehen, bevor die Technik über Testumgebungen hinaus zum Einsatz kommt. GitSpawn reiht sich damit in eine wachsende Liste ähnlich gelagerter Fälle bei KI-Coding-Agenten ein, bei denen nicht ein einzelner Hersteller, sondern ein wiederkehrendes Architekturmuster – automatisierte Hintergrundbefehle ohne geprüfte Eingaben – die eigentliche Schwachstelle bildet.
