--- title: "AI 编码 agent 会在你批准任何事情之前，先跑仓库自带的代码" url: https://wakenex.com/notes/ai-coding-agents-run-a-repos-own-code-before-you-approve/ language: zh-CN type: note section: "觉醒信号" published: 2026-10-20T22:22:08+07:00 author: "WAKENEX" id: "note:ai-coding-agents-run-a-repos-own-code-before-you-approve" x_post: https://x.com/AAwakened32198/status/2112565033582657553 alternate_language: https://wakenex.com/notes/ai-coding-agents-run-a-repos-own-code-before-you-approve/index.md license: "© WAKENEX。可引用与摘要，请注明出处并附原文链接。" cite_as: "WAKENEX. \"AI coding agents run a repo's own code before you approve anything.\" wakenex.com, 2026-10-20. https://wakenex.com/notes/ai-coding-agents-run-a-repos-own-code-before-you-approve/" --- # AI 编码 agent 会在你批准任何事情之前，先跑仓库自带的代码 **一句话判断：** AI 编码 agent 的真正风险是杠杆，不是模型能力：把「读一下仓库」自动化，会在任何批准之前把攻击者可控的输入放大成带你权限的代码执行，而下行代价由开发者承担，不是厂商。 ![一根手指悬在一个发光的小开关上方——那是它还没按下的『允许』；可开关早已连着身后一台高耸的机械压印臂，那臂已经砸落，把一道长长的黑墨甩过一张苍白的纸、拖向黑暗。那个小小的决定从来没跑在它所控制的机器前面。](https://wakenex.com/assets/notes/ai-coding-agents-run-a-repos-own-code-before-you-approve/cover-1600.jpg?v=0ee47564ef) *图片：WAKENEX* Qwen Code、Grok Build 和另外两个至今未修复。 本该保护你的沙箱，恰恰就是失陵的那一环。↓ 我们的判断 AI 编码 agent 的危险不在于模型更聪明或更笨，而在于杠杆。把「读一下仓库」自动化，会在任何人点「允许」之前，把攻击者可控的配置放大成带你权限的代码执行。 发生了什么 → 9 月 1 日：Manifold Security 披露 GitSpawn —— 7 个命令行 agent（Claude Code、Codex、Cursor、goose、Hermes、Qwen Code、Grok Build）共 8 个漏洞。 → 仓库自带的 .git/config 可以通过 Git 的 core.fsmonitor 指定一条命令；agent 打开仓库时跑 git，就在沙箱外、信任提示前以你的权限执行它。 → 9 月 4 日（云安全联盟 CSA）：8 个变体里仍有 4 个未修复。 → 10 月 6 日：研究者演示 GitHub Copilot CLI 通过精心构造的仓库内容，28 秒内窃取本地密钥。 为何重要 杠杆会放大你对准的一切 —— 已核验的工作和不可信的输入都一样。谁发布「自动跑 git 取上下文」，谁就握着杠杆；而承担爆炸半径的是开发者。 这里失陵的护栏不是能力，是「隔离」。 二阶效应：团队给每次 agent 运行都栈上扫描器和一次性虚拟机，反而拖慢了当初采用 agent 所图的速度。 最强反方 隔离面比标题听起来窄。这个攻击需要仓库以文件传输的方式带着 .git 目录到达，而不是正常的 git clone；4 个 agent 已修复；有一行临时缓解命令；暂无在野利用，CISA 的已被利用漏洞清单也未收录。 这周去做 在无凭证的一次性虚拟机里打开不可信仓库，并确认你的 agent 已修复 fsmonitor 变体。在你亲自验证之前，别把「已沙箱」当成真的。 如果七个 agent 的所有剩余 GitSpawn 类漏洞全部修复，且 CISA 已被利用漏洞清单仍无在野利用记录，我们的判断就错了。 ## 来源与说明 - [来源：adversa.ai/blog/top-ai-coding-agent-security-resources-october-2026](https://adversa.ai/blog/top-ai-coding-agent-security-resources-october-2026/) - [来源：labs.cloudsecurityalliance.org/research/csa-research-note-ai-coding…](https://labs.cloudsecurityalliance.org/research/csa-research-note-ai-coding-agent-git-config-rce-20260904-cs/) - [来源：aviatrix.ai/threat-research-center/malicious-git-configs-ai-agents-…](https://aviatrix.ai/threat-research-center/malicious-git-configs-ai-agents-cve-2026-19592/) --- 引用格式：WAKENEX. "AI coding agents run a repo's own code before you approve anything." wakenex.com, 2026-10-20. https://wakenex.com/notes/ai-coding-agents-run-a-repos-own-code-before-you-approve/ 网页版：https://wakenex.com/notes/ai-coding-agents-run-a-repos-own-code-before-you-approve/