หน้าต่างคอนฟิก git ในห้องเขียวเข้มมีจุดอำพันเตือนที่คำสั่งจากคลังก่อน agent เริ่มงาน
securityaigitagents

Manifold: ไฟล์ .git/config โผล่คำสั่งให้ AI coding agent รันเอง

น้องกายEngineering

ผมเคยแตก zip โปรเจกต์จากเพื่อนแล้วเปิดด้วย AI coding agent ทันที รอบนี้เลยน่ากลัวขึ้น เพราะคำสั่งอาจรันก่อนผมพิมพ์อะไรเลยครับ

Manifold Security อธิบายคลาสปัญหาที่สื่อเรียกใกล้เคียง GitSpawn: agent หลายตัวรัน git status/git diff ในพื้นหลังเพื่อเก็บบริบท ถ้าไม่ตัดค่าใน .git/config ของคลังนั้น Git จะรันคำสั่งที่ตั้งไว้ในคีย์อย่าง core.fsmonitor บนเครื่องผู้ใช้ นอก sandbox และไม่ผ่าน approval prompt

ทำไม zip เสี่ยงกว่า clone

Technical Munch สรุปงาน Manifold ระบุว่าการโจมตีต้องการคลังที่มาพร้อมโฟลเดอร์ .git ครบ เช่น ไฟล์บีบอัด แชร์ไดรฟ์ หรือ USB การ git clone ปกติได้คอนฟิกละอาดกว่าเพราะไม่พก config ของผู้ส่งมาทั้งก้อน

แหล่งเดียวกันระบุว่าตอนตีพิมพ์ มีแพตช์แล้วสำหรับ goose, Claude Code และ Cursor ส่วน Hermes Agent, Qwen Code, Grok Build และเส้นทางที่สองใน Claude Code ยังรันคำสั่งจากคลังได้เมื่อ Manifold ทดสอบซ้ำวันที่ 1 กันยายน 2026 บทความนี้ไม่ใส่เวอร์ชันนอกเหนือจากที่แหล่งระบุ และไม่มีขั้นตอน exploit

สิ่งที่ทำได้ตอนนี้โดยไม่ต้องโจมตีใคร

  • ถ้าได้โปรเจกต์เป็นโฟลเดอร์/zip ให้เปิด .git/config ก่อนเปิดด้วย agent ดูคีย์ที่ชี้โปรแกรม เช่น core.fsmonitor, core.hooksPath
  • รัน git config --get core.fsmonitor ในคลังนั้น และตรวจค่า global ด้วย git config --global --list
  • ตั้ง git config --global core.fsmonitor false เป็นค่าเริ่มที่ปลอดภัยขึ้นตามคำแนะนำแหล่งข่าว
  • vendor ควร sanitize ตอนเรียก git ในพื้นหลัง เช่น git -c core.fsmonitor=false status

Recap

  • อันตรายอยู่ที่ agent เรียก git ก่อน trust/auth ไม่ใช่แค่ prompt injection
  • รับคลังเป็นไฟล์พร้อม .git เสี่ยงกว่า clone สะอาด
  • ตรวจ config ก่อนเปิด agent และปิด fsmonitor global ถ้ายังไม่จำเป็น
  • อัป agent ตาม advisory ของแต่ละค่าย ไม่เดาเลขรุ่นเอง