Critical vulnerabilities in leading AI coding agents like Claude Code, Codex, and Cursor allow attacker-controlled Git configurations to execute code on developers' machines without warning. Despite partial fixes, several agents remain dangerously exposed as of September 2026.
Open a project, trigger an AI agent, and-without a single prompt or warning-your machine could be running an attacker's code. That's the stark reality facing developers after Manifold Security revealed a series of unpatched vulnerabilities in some of the most widely used AI coding agents.
At the heart of the breach is a subtle but devastating exploit: malicious Git configurations embedded in a repository's .git directory. When an agent like Claude Code, Codex, or Cursor interacts with such a repo, it can unwittingly execute attacker-supplied commands outside its sandbox, with the full privileges of the user. No trust dialog, no approval, no model call-just instant compromise.
Il meccanismo dell'attacco: la trappola nascosta nei repository
La vulnerabilità sfrutta una funzione legittima di Git: la chiave core.fsmonitor, che permette di specificare un comando da eseguire per monitorare i cambiamenti nei file. Se questa impostazione è presente nel file .git/config di una cartella ricevuta (ad esempio tramite archivio, drive condiviso o chiavetta USB), qualsiasi comando Git che aggiorna l'indice-come git status o git diff-esegue il comando malevolo. Gli agenti AI, per determinare lo stato del repository, invocano questi comandi in background, lasciando intatta la configurazione e aprendo la porta all'esecuzione di codice arbitrario.
Non si tratta di una falla nei modelli AI, ma di una debolezza nell'integrazione tra agenti e strumenti di sviluppo tradizionali. Come ha sottolineato Manifold Security, "la vulnerabilità non è nel modello, ma nella normale plumbing sottostante: il sottoprocesso che l'agente avvia all'inizio della sessione per capire dove si trova".
Agenti e versioni colpite: chi ha già corretto, chi resta vulnerabile
La lista dei prodotti coinvolti è lunga e pesante: Claude Code, Codex CLI, Codex Desktop (macOS e Windows), Cursor, goose, Hermes Agent, Qwen Code e Grok Build. Al 1° settembre 2026, solo goose, Claude Code (parzialmente) e Cursor risultano aggiornati con patch efficaci. Gli altri-Hermes Agent, Qwen Code, Grok Build e una seconda via d'attacco su Claude Code-continuano a eseguire comandi forniti dal repository, secondo i test di Manifold.
OpenAI ha pubblicato tre CVE per Codex, tra cui CVE-2026-19592, riconoscendo che "il comando helper viene eseguito fuori dal sandbox di Codex e senza prompt di approvazione, consentendo l'esecuzione di codice controllato dall'attaccante con i privilegi dell'utente". GitHub ha assegnato a goose la CVE-2026-72718 con un punteggio CVSS 7.0, mentre VulnCheck ha attribuito CVE-2026-71963 a Hermes Agent, anche se non risulta ancora pubblicato nel database MITRE.
Il dettaglio delle versioni vulnerabili è impietoso: per esempio, Codex CLI è a rischio dalla 0.102.0 alla 0.130.0 (fixata in 0.131.0), mentre Claude Code ha corretto solo una delle due vie d'attacco tra la 2.1.193 e la 2.1.196, lasciando la seconda ancora attiva almeno fino alla 2.1.252.
Risposte dei vendor e lacune nelle patch
Le reazioni dei vendor sono state frammentarie. Alcuni, come Anthropic per Claude Code, hanno risolto rapidamente una parte del problema, ma senza pubblicare advisory completi o coprire tutte le varianti. Altri, come Nous Research (Hermes Agent) e Alibaba (Qwen Code), hanno ricevuto segnalazioni dettagliate ma non hanno ancora distribuito aggiornamenti risolutivi. xAI, invece, ha chiuso la segnalazione su Grok Build come duplicata, mentre la stessa build era già nota per caricare interi repository Git su storage remoto.
Cursor, secondo Manifold, era vulnerabile a una variante simile: un comando di setup fornito dal repository veniva eseguito prima del prompt di workspace-trust e fuori dal sandbox. Nessuna fonte ha riportato exploit attivi, ma la finestra di rischio resta aperta per chiunque apra repository ricevuti come file.
Implicazioni pratiche e consigli per gli sviluppatori
Il rischio non è teorico: basta aprire una cartella con un agente AI non aggiornato per eseguire codice malevolo senza rendersene conto. L'attacco sfrutta la fiducia implicita nell'automazione degli strumenti di sviluppo e la scarsa attenzione alle configurazioni nascoste nei repository condivisi.
Le raccomandazioni sono chiare: ispezionare sempre il file .git/config prima di aprire directory ricevute, cercando chiavi come core.fsmonitor, core.hooksPath e attr.tree; eseguire git config --get core.fsmonitor per ogni repository sospetto; disabilitare globalmente fsmonitor con git config --global core.fsmonitor false; e pretendere che i vendor degli agenti AI rimuovano queste configurazioni nelle chiamate di background.
La superficialità con cui molti vendor hanno gestito la disclosure-tra advisory mancanti, patch parziali e comunicazioni opache-dimostra quanto il settore sia impreparato a gestire l'intersezione tra automazione AI e sicurezza degli strumenti legacy. Finché gli agenti AI continueranno a delegare operazioni critiche a tool di base senza filtri, ogni sviluppatore resta esposto a rischi silenziosi e difficili da individuare. La fiducia cieca nell'automazione, senza una revisione rigorosa delle integrazioni, si sta rivelando il vero tallone d'Achille della nuova generazione di strumenti per il codice.
