AIコーディングエージェントのClaude CodeやCursor、Grok Build（xAIの企業向けコーディングエージェント）に、リポジトリを開いただけでコードを実行されてしまう欠陥が見つかった。セキュリティ企業Manifold Securityが2026年9月2日に公開した調査によると、対象は7つのエージェント・8件の欠陥。プロンプトを打つ必要も承認をクリックする必要もなく、モデルを一度も呼ばないまま攻撃者のコードが動く。研究者らはこの欠陥群を「GitSpawn」と名付けた。
9月1日の再検証時点で、4件はすでに修正済み、残り4件は未修正のまま公開に踏み切られている。使っているツールによって、いま何をすべきかがはっきり分かれる話だ。
⚠ 情報の鮮度について
一次情報はManifold Securityの調査公開（2026年9月2日9:26 UTC、日本時間18:26）と、同日のThe Hacker Newsの報道です。本記事公開時点で一次報道から74〜76時間ほどが経過しています。本文のパッチ状況は9月1日の再検証時点のもので、この後さらに更新が進んでいる可能性があります。最新の状況は各ツールの変更履歴でご確認ください。
Section 01
GitSpawnとは何か──.gitの設定だけで乗っ取られる仕組み
AIコーディングエージェントは、いま自分がどのブランチにいて何が変わったかを把握するため、起動直後にgit statusやgit diffをバックグラウンドで実行する。使い勝手のよさを支える、ごく普通の挙動だ。
Gitにはcore.fsmonitorという設定項目がある。変更されたファイルを素早く見つけるための性能向上機能で、値には外部プログラムを指定できる。indexを更新する操作――git statusやgit diffを含むほぼすべての操作――のたびに、Gitはこの設定に書かれたコマンドを実行する。リポジトリの.git/configにこの値を仕込んでおけば、そのリポジトリを開いた誰かのマシンで、任意のコマンドを動かせる。
通常のgit cloneでは.git/config内のこうした設定は複製されないため、日々の共同作業でこの罠を踏むことはない。危ないのは、ZIPで固めて展開したフォルダ、共有ドライブ、USBメモリなど、.gitディレクトリごと渡されたリポジトリを開いたときだ。
Manifold Securityは調査の中で「脆弱性はモデルの中にあるのではなく、エージェントがセッション開始時に呼び出す、ごく普通の下回りにある」という趣旨を述べている。攻撃者は新しい穴を作ったわけではなく、Gitが最初から持っている正規の機能を、AIエージェントの習慣に組み合わせただけだ。
Section 02
7つのエージェント、8件の欠陥、パッチ状況
Manifold Securityの調査は7つのAIコーディングエージェントを対象に行われ、core.fsmonitorを使う経路と、別の設定キーを使う経路をあわせて8件の欠陥を報告した（Claude Codeだけ経路が2つある）。最初の報告は6月26日で、直前の9月1日の再検証時点で4件が未修正のまま残っていた。
| エージェント（経路） | 状態 | パッチ・識別番号 |
|---|---|---|
| Claude Code（core.fsmonitor） | 修正済み | v2.1.196（6/29公開） |
| Claude Code（ultrareviewコマンド） | 未修正 | v2.1.252でも再現（9/1確認） |
| OpenAI Codex（CLI・Desktop） | 修正済み | CLI v0.131.0ほか／CVE-2026-19592 |
| Cursor（CLI） | 修正済み | パッチ提供済み |
| Goose | 修正済み | v1.44.0／CVE-2026-72718（CVSS 7.0） |
| Hermes Agent | 未修正 | v0.21.0で再現／CVE-2026-71963 |
| Qwen Code（Alibaba） | 未修正 | v0.22.3で再現 |
| Grok Build（xAI） | 未修正 | v1.0.13で再現 |
7
対象となったエージェントの数
8
報告された欠陥の件数
4
9月1日時点で未修正の件数
本サイトが扱う製品のうち、この記事に登場するのはClaude（Claude Code）・Cursor・Grok（Grok Build）・OpenAI（Codex）の4つである。GitHub CopilotやGemini、Midjourneyはこの調査の対象に含まれておらず、影響の有無はこの記事の時点でわかっていない。
ⓘ Goose・Codexの脆弱性は開発元自身も認めている
GooseのCVE-2026-72718はGitHubのセキュリティアドバイザリ（GHSA-r5pp-p5r8-466r）に、CodexのCVE-2026-19592はOpenAI自身のCVE登録に記載があります。いずれもベンダー側の一次情報として確認でき、「研究者の主張」だけで終わっていません。
Section 03
なぜこれほど危険なのか
普通のマルウェアなら、開く・実行する・許可するといった一手間がどこかに要る。GitSpawnにはそれが無い。
01
承認より先に実行される
エージェントがユーザーに何かを尋ねる前、モデルに一度も問い合わせる前に、コンテキスト収集の裏側で実行が終わっている。「怪しいコードを実行しますか」という画面を見る機会自体が無い。
02
正規機能の悪用なので検知しにくい
core.fsmonitorはGitが公式に提供する性能向上機能で、それ自体は以前から存在する。「異常な挙動」ではなく「想定どおりの挙動」なので、通常のセキュリティ監視では見分けがつきにくい。
03
奪われるものが大きい
実行はエージェントのサンドボックスの外で、ログインユーザーの権限のまま起きる。SSHキー・クラウドの認証情報・ディスク上の全リポジトリが対象になりうる。
実行条件は一つに絞られる。.gitディレクトリが保持されたままのリポジトリを、信頼できない相手から受け取って開いたときだけが危ない。研究者らは9月2日時点で、実際の悪用が観測された例は無いとしている。
Section 04
Claude Code・Cursor・Grok Buildを使っているなら、いま確認すること
使っているツール別に、優先度は変わる。
A
Claude Codeを使っている人
core.fsmonitor経由の穴はv2.1.196で塞がれているので最新版に更新する。ただしultrareviewコマンド経由の別経路は9月1日時点で未修正のまま。出所のわからないリポジトリでこのコマンドを使うのは避ける。
B
Cursor・Codex（ChatGPT）を使っている人
両方ともパッチが提供済みなので、CLI・デスクトップアプリを最新版に更新すれば経路は塞がる。更新だけで済む点は、この4つの中では対応が軽い部類に入る。
C
Grok Buildを使っている人
9月1日時点で未修正。展開済みのフォルダやZIP経由で受け取ったリポジトリは、開く前に中身を確かめる以外にいまのところ手立てがない。
💡 開く前に、自分の設定を確かめる
ターミナルでgit config --get core.fsmonitorを実行すると、いま開こうとしているリポジトリにこの設定が仕込まれていないかを確認できます。習慣として無効化しておきたい場合はgit config --global core.fsmonitor falseを実行すると、リポジトリ側の指定よりも自分の設定が優先されます。展開直後のフォルダやZIPから取り出したフォルダは、git cloneし直したものとは扱いが違う、と覚えておくとよいでしょう。
ベンダー側の対応としては、コンテキスト収集のたびにgit -c core.fsmonitor=false statusのように設定を上書きして呼び出すのが、Manifold Securityが挙げている根本的な対策である。すでに直った4つの経路は、いずれもこの形の修正が入っている。
Section 05
編集部の見立て
Editor's Opinion
今回の件で気になったのは、脆弱性そのものより「7つのエージェントがそろって同じ穴を持っていた」という広がり方です。Manifold Securityが指摘しているとおり、これは特定のモデルや特定の会社の実装ミスではなく、AIコーディングエージェントという道具が共通して抱えている癖から生まれています。リポジトリを開いた瞬間に自分の居場所を把握しようとする、その親切さの延長線上に穴があったわけです。
読者の皆さんにとっての実務的な意味は、はっきりしていると考えます。Claude CodeとCursor、Codexを普段づかいにしている人は、更新するだけで大半の経路は塞がります。一方でGrok Buildを使っている人、あるいはClaude Codeのultrareviewコマンドを使っている人は、いまはツール側の対応を待つしかない状態です。同じ「AIコーディングツール」というくくりでも、この一件への備えの重さは製品によって違います。
もう一点、開発元自身がCVEを取得して公表している点は評価してよいと思います。GooseはGitHubのアドバイザリで、Codexは自社のCVE登録で、それぞれ研究者の指摘を追認しました。指摘を伏せずに公表する姿勢が、この種の欠陥では読者の防御に直結します。
Section 06
まとめ
2026年9月2日、セキュリティ企業Manifold Securityが「GitSpawn」と名付けた脆弱性群を公開しました。Claude Code・Cursor・Codex（ChatGPT）・Grok Build・Goose・Hermes Agent・Qwen Codeの7つのAIコーディングエージェントに、Gitの設定項目core.fsmonitorなどを悪用して任意のコードを実行できる欠陥が計8件見つかっています。
報告は6月26日から始まり、9月1日の再検証時点でGoose・Claude Code（core.fsmonitor経路）・Cursor・Codexの4件は修正済み、Claude Code（ultrareviewコマンド）・Hermes Agent・Qwen Code・Grok Buildの4件は未修正のままでした。実行条件は、.gitディレクトリを保持したままのリポジトリを信頼できない相手から受け取って開くことに限られ、9月2日時点で実際の悪用は確認されていません。
対策は単純です。パッチ済みのツールは最新版に更新すること、そして出所のわからないリポジトリを開く前にgit config --get core.fsmonitorで中身を確かめることです。
Hermes Agent・Qwen Code・Grok Buildの3つが実際にいつパッチを出すのか、次の焦点はそこに移る。