악성 .git 설정 파일, Claude·Codex·Cursor 등 AI 에이전트에서 공격자 코드 실행 허용

Manifold Security가 7종의 커맨드라인 AI 코딩 에이전트에서 보안 결함 8건을 공개했습니다. 저장소의 Git 설정 파일이 에이전트로 하여금 개발자 PC에서 특정 명령을 실행하도록 유도하는 방식이며, 발표 시점에 4건은 아직 패치되지 않은 상태입니다.

해당 명령은 에이전트의 샌드박스 밖에서, 승인 프롬프트 없이, 사용자 권한으로 실행됩니다. 악용을 위해서는 저장소가 .git 디렉터리를 포함한 채 파일로 전달되어야 하는데, 공유 압축 파일·공유 드라이브·동기화 폴더·USB 드라이브로 전달할 경우 .git 디렉터리가 보존되는 반면, 일반적인 git clone에서는 그렇지 않습니다.

goose, Claude Code, Cursor에는 수정 패치가 배포됐으나, Hermes Agent, Qwen Code, Grok Build, 그리고 Claude Code의 또 다른 실행 경로는 Manifold가 9월 1일 재검증했을 때도 저장소에서 제공된 명령을 실행하고 있었습니다.

OpenAI는 같은 날 동일 유형의 CVE 3건을 별도로 공개했으며, 이는 서로 무관한 세 연구 그룹의 제보에 따른 것입니다.

"해당 헬퍼는 Codex의 명령 샌드박스 밖에서, 사용자 승인 프롬프트 없이 실행되어, 공격자가 제어하는 코드가 사용자 권한으로 동작합니다. 이 코드는 사용자의 파일을 읽고, 변경하고, 삭제하며, 해당 계정으로 접근 가능한 다른 자원에도 접근할 수 있습니다." — OpenAI가 CVE-2026-19592 기록에서 밝힌 내용

Claude Code와 Hermes Agent에서는 워크스페이스 신뢰 프롬프트를 수락하기 전에, Qwen Code에서는 사용자 인증 전에, Grok Build에서는 첫 키 입력 시에 페이로드가 실행됩니다.

core.fsmonitor는 Git 성능 설정으로, 변경된 파일을 식별하기 위해 Git이 실행하는 명령의 값을 담고 있으며, Git은 저장소 자체의 .git/config에서 이를 읽습니다. git status나 git diff를 포함해 인덱스를 갱신하는 모든 작업이 해당 명령을 실행합니다.

에이전트들은 현재 브랜치와 변경된 파일을 파악하기 위해 백그라운드에서 이 명령들을 호출하며, 저장소 설정은 그대로 유지합니다.

GitSpawn이라는 이름으로 조사 결과를 발표한 Manifold는 8건 중 5건을 상세히 분석했으며, 이보다 더 많은 에이전트에서 동일한 패턴을 발견했다고 밝혔습니다.

"이 취약점은 모델에 있는 것도 아니고, 새로운 것도 아닙니다. 세션 시작 시 에이전트가 현재 위치를 파악하기 위해 실행하는 서브프로세스, 즉 그 아래에 깔린 평범한 배관에 있습니다." — Manifold

영향을 받는 에이전트와 버전은 다음과 같습니다:

• goose - 1.44.0 이전 모든 버전, 1.44.0에서 수정
• Codex CLI - 0.102.0 ~ 0.130.0, 0.131.0에서 수정
• Codex Desktop for macOS - 260202.0859 ~ 26.513.31313, 26.519.22136에서 수정
• Codex Desktop for Windows - 26.304.38 ~ 26.513.40821, 26.519.21041에서 수정, Microsoft Store 패키지 26.304.38.0 ~ 26.513.4821.0, 26.519.2081.0에서 수정
• Claude Code - Manifold가 2.1.193에서 확인, core.fsmonitor 경로는 2.1.196에서 수정, claude ultrareview 경로는 2.1.252에서도 확인됨
• Hermes Agent - 0.18.2 및 0.21.0 확인, 수정 대기 중
• Qwen Code - 0.19.6 및 0.22.3 확인, 수정 대기 중
• Grok Build - 0.2.93 및 1.0.13 확인, 수정 대기 중

goose에서는 goose review 명령이 하나의 설정 플래그(-c core.quotePath=off)만 적용하여 Git 호출을 구성하며, 그 외 설정은 걸러내지 않습니다.

GitHub는 Francisco Rosales의 제보로 CVE-2026-72718에 CVSS 4.0 기본 점수 7.0을 부여했습니다. 이번 취약점들 중 점수가 매겨진 것은 이것뿐입니다.

"따라서 악성 저장소 내에서 goose review를 실행하면 공격자 코드가 실행됩니다 — 프롬프트 입력도, 모델 호출도, 도구 승인도, 신뢰 프롬프트도 없습니다. 명령은 goose가 모델에 접속하기도 전에 실행됩니다." — 해당 권고문

Sonar는 4월에 동일한 취약점을 보고했으며, Anthropic이 이를 해소하기 위해 이미 시작 시퀀스를 한 차례 수정했음을 확인했고, Visual Studio Code 1.63.1 이전 버전(CVE-2021-43891)과 JetBrains IDE 2021.3.1 이전 버전(CVE-2022-24346)에서도 동일한 신뢰 대화 우회 문제를 발견했습니다.

"2.0.34 버전에서 Claude는 신뢰 대화 수락 전에 git status를 실행하지 않도록 업데이트되어 특정 취약점이 완화됐습니다. 하지만 관련 문제는 남아 있었습니다." — Sonar

2.0.34 버전은 2025년 11월 5일에 출시됐으며, Manifold는 2026년 6월 25일에 출시된 2.1.193에서도 동일한 시작 동작이 재현됐다고 보고합니다.

Anthropic은 이전에도 Claude Code의 신뢰 수락 전 실행 결함을 공개한 바 있으며, CVE-2026-55607에 대한 6월 권고문에서는 워크트리 작업 중 git fsmonitor 실행 문제를 명시하고 있습니다.

아직 패치되지 않은 항목

Manifold의 보고서 5건은 다른 연구자들이 독립적으로 제출한 보고서와 중복으로 처리됐으며, 그 중 하나는 같은 날 접수된 것이었습니다.

연구진은 Claude Code의 core.fsmonitor 취약점을 6월 26일 보고했으며, 6월 29일 2.1.196에서 수정됐다고 밝혔습니다. 해당 보고서는 같은 날 먼저 접수된 보고서의 중복으로 종료됐습니다.

Anthropic은 이에 대한 별도 권고문을 발행하지 않았으며, The Hacker News가 9월 2일 확인한 결과 npm 패키지에 대한 벤더의 공식 권고 기록에도 Claude Code 취약점 두 건 모두 포함되지 않았습니다.

claude ultrareview를 통해 접근하는 두 번째 Claude Code 실행 경로는 Manifold가 공개를 보류한 별개의 Git 설정 키를 활성화합니다. 동시에 해당 문제는 현재도 활성 상태이며, Manifold는 9월 1일 현재 릴리스인 2.1.258에 대해 2.1.252에서 이를 확인했습니다. 이후 릴리스에서 수정됐는지 여부는 어떤 자료에도 명시되지 않았습니다.

Alibaba 보안 대응 센터는 7월 7일 Qwen Code 보고서를 접수했습니다. The Hacker News가 9월 2일 npm 레지스트리를 통해 확인한 결과, Manifold가 재검증한 버전인 0.22.3이 최신 릴리스입니다.

Nous Research의 Hermes Agent는 7월 태국 정부 네트워크 침해 사고에서 무인 운영된 바 있으며, Manifold는 5개 채널을 통해 여섯 차례 연락을 시도했으나 비공개 권고가 트리아지되지 않은 채 방치됐다고 밝혔습니다.

VulnCheck는 Manifold의 보고에 따르면 CVE-2026-71963을 부여했습니다. The Hacker News가 9월 2일 MITRE의 CVE 목록에서 해당 식별자를 검색한 결과 공개된 기록을 찾을 수 없었으며, 인접 식별자들은 VulnCheck의 공개 기록이었습니다.

xAI는 동일 유형의 이전 보고서를 7월 1일 정보 제공 목적으로 종료했으며, Manifold의 7월 14일 보고서도 그것의 중복으로 종료했습니다.

같은 0.2.93 빌드에 대한 별도 연구에서 Grok Build가 전체 Git 저장소를 xAI 스토리지에 업로드하는 것이 발견됐으며, xAI는 공식 권고문 대신 X(구 트위터)를 통해 이를 해소했습니다.

Manifold는 3주 앞서 Cursor CLI에서도 동일한 유형을 문서화했으며, 저장소에서 제공된 설정 명령이 워크스페이스 신뢰 프롬프트 이전에, 샌드박스 밖에서 실행됐습니다.

현재까지 이 취약점들의 실제 악용 사례는 보고되지 않았습니다. The Hacker News가 9월 2일 미국 사이버보안·인프라보안국(CISA)의 알려진 악용 취약점(KEV) 목록을 확인한 결과(2026.09.01 버전, 1,687건 수록), 해당 CVE 중 어느 것도 등재되지 않았습니다.

"FSMonitor 악용은 버그가 아닌 정상적인 기능을 이용합니다. Git의 유연성과 현대적인 IDE 자동화의 교차점을 활용하여 저장소 열기 이벤트를 코드 실행으로 변환합니다." — Cobalt가 12월 레드팀 분석 보고서에서

사용자에게 권장되는 점검 항목은 다음과 같습니다:

• 에이전트로 수령한 디렉터리를 열기 전 .git/config를 검사하여 core.fsmonitor, core.hooksPath, attr.tree와 clean 또는 process 필터 여부 확인
• 파일로 전달받은 저장소 내에서 git config --get core.fsmonitor 실행
• git config --global --list | grep fsmonitor 명령으로 전역 설정 감사
• git config --global core.fsmonitor false 설정으로 기본값 비활성화
• 에이전트를 배포하는 벤더는 백그라운드 호출 시 설정을 제거할 것(예: git -c core.fsmonitor=false status)

Codex CLI의 현재 릴리스는 9월 2일 기준 0.152.1이며, 0.131.0 미만 버전에 고정된 설치 환경은 여전히 취약합니다.