Claude Code、Cursor、OpenAI Codexなど、日本でも広く使われているAIコーディングエージェントに、細工されたリポジトリのフォルダを開くだけでパソコン上のコードが勝手に実行されてしまう重大な脆弱性「GitSpawn」が発覚しました。海外セキュリティ企業Manifold Securityが2026年9月1日に公開した調査では、7つのエージェント・8件の欠陥が指摘され、記事執筆時点で4件が未修正のままです。本記事ではGitSpawnの仕組み、影響を受けるツールとバージョン、そして今すぐ確認すべき対策を整理します。
GitSpawnとは何か。なぜ危険なのか
AIコーディングエージェントは、起動時や作業開始時に「今どのブランチにいるか」「どのファイルが変更されたか」といった情報をgitコマンドで自動的に収集します。この裏側の挙動そのものは、ごく普通のgit statusやgit diffといったコマンドで、開発者が違和感を持つようなものではありません。
問題は、これらのgitコマンドが、開くフォルダの中にある.git/configの設定を読み込んだ状態で実行される点にあります。gitにはcore.fsmonitorという、大規模リポジトリの動作を高速化するための設定項目があり、ここに指定されたコマンドは、git statusやgit diffなどインデックスを更新する操作のたびに自動実行されます。本来はパフォーマンス向上のための正規機能ですが、悪意ある第三者が.git/configにこの設定を仕込んだ状態でリポジトリを配布すれば、AIエージェントがコンテキスト収集のためにgitコマンドを呼び出した瞬間、指定されたコマンドが開発者本人の権限で、サンドボックスの外側で、承認プロンプトなしに実行されてしまいます。
細工されたリポジトリのフォルダをAIエージェントで開くだけで、開発者のパソコン上で攻撃者の用意したコマンドが勝手に実行されてしまうという点が、この脆弱性の最も危険な特徴です。Manifold Securityによると、このコマンドは信頼ダイアログ（ワークスペースの安全性を確認する画面）が表示される前や、ツールによってはユーザーが認証を済ませる前にすら実行されるケースがあるとされています。実行された攻撃者のコードは、SSH秘密鍵やクラウドの認証情報、シェル設定に保存されたトークン、ディスク上の全リポジトリにアクセスできる可能性があり、被害は単なる誤動作にとどまりません。
なお、この脆弱性が悪用されるには、リポジトリが「クローン」ではなく「ファイルとして」渡される必要がある点は押さえておきたいポイントです。zipファイルでの共有、共有ドライブ、同期フォルダ、USBメモリ経由でプロジェクト一式を受け取った場合などが該当し、通常のgit cloneやgit fetchだけでは.gitディレクトリの設定は運ばれないため、この経路からは影響を受けません。
影響を受けるAIコーディングエージェント一覧
Manifold Securityが確認した範囲では、次のエージェントに同種の欠陥が見つかっています（2026年9月1日時点の状況）。
| エージェント | 提供元 | 影響バージョン | 修正状況 |
|---|---|---|---|
| Claude Code（core.fsmonitor経路） | Anthropic | 2.1.193で確認 | 2.1.196で修正済み |
| Claude Code（ultrareview経路） | Anthropic | 2.1.210〜2.1.252で確認 | 未修正（9月1日時点） |
| Codex CLI | OpenAI | 0.102.0〜0.130.0 | 0.131.0で修正済み |
| Codex Desktop（macOS/Windows） | OpenAI | 旧バージョン各種 | 各プラットフォームで修正済み |
| Cursor CLI | Anysphere | 非公開 | 修正済み |
| goose | Block | 1.44.0未満 | 1.44.0で修正済み（CVE-2026-72718） |
| Hermes Agent | Nous Research | 0.18.2、0.21.0で確認 | 未修正 |
| Qwen Code | Alibaba | 0.19.6、0.22.3で確認 | 未修正 |
| Grok Build | xAI | 0.2.93、1.0.13で確認 | 未修正 |
Manifold Securityは「ここに挙げた以外のエージェントでも同じパターンを確認している」としており、記事に名前が挙がっていないツールでも同様のリスクがある可能性は否定できません。
Claude Codeへの影響を詳しく見る
日本の開発者にとって関心が高いClaude Codeについては、2つの異なる経路で問題が確認されています。1つ目は起動時に実行されるgit statusを経由する経路で、こちらは2.1.193で確認された後、2.1.196で修正が入っています。2つ目はclaude ultrareviewコマンドを実行した際に別のgit設定項目（Manifold社は未修正のため詳細を非公開にしています）を経由する経路で、こちらは2.1.252の時点でも再現が確認されており、記事執筆時点の最新版である2.1.258で修正済みかどうかは公式に明言されていません。
なお、Claude Codeはこれ以前にも同種の「信頼ダイアログ表示前にgitコマンドが実行される」問題が指摘された経緯があります。セキュリティ企業Sonarが2026年4月に報告した際、Anthropicは起動シーケンスを変更して該当箇所を一度は修正していましたが、今回Manifold Securityが確認した2.1.193では、形を変えて同種の挙動が再発していたことになります。Claude Codeはnpmでの月間ダウンロード数が7,700万件を超えており、影響範囲の大きさもこの脆弱性が注目された理由の一つです。
今すぐできる確認方法と対策
自分の環境が影響を受けていないか、まずは次の手順で確認しましょう。
受け取ったフォルダを開く前に確認する
zipファイルや共有ドライブ経由で受け取ったプロジェクトフォルダをAIエージェントで開く前に、.git/configの中身を目視で確認してください。core.fsmonitor、core.hooksPath、attr.treeといった項目に見慣れないコマンドが指定されていないかをチェックします。
git config --get core.fsmonitorグローバル設定を監査する
git config --global --list | grep fsmonitorfsmonitor設定を既定で無効化する
心配な場合は、以下のコマンドでグローバルにfsmonitorを無効化しておくと、意図せず有効化されるリスクを下げられます。
git config --global core.fsmonitor falseそのうえで、Claude Code、Cursor、Codexなど利用しているエージェント本体を最新バージョンにアップデートしておくことが基本の対策になります。特にClaude Codeを使っている場合は、ultrareviewコマンドの利用を一時的に控える、あるいは信頼できないリポジトリに対しては使わないといった運用上の注意も有効です。素性の分からないzipファイルやアーカイブとして受け取ったプロジェクトは、そのままAIエージェントで開かず、まず中身を確認する習慣をつけることをおすすめします。
FAQ
Q. 通常のgit cloneでリポジトリを取得した場合も危険ですか。
A. 通常のクローンやfetch、pullではこの脆弱性は悪用されません。攻撃が成立するのは、.gitディレクトリを含んだ状態でファイルとして受け取った場合（zip共有、共有ドライブ、同期フォルダ、USBメモリなど）に限られます。
Q. Claude Codeは安全になりましたか。
A. 起動時のgit statusを経由する経路は2.1.196で修正されていますが、claude ultrareviewを経由する別の経路は、Manifold Securityの報告時点（9月1日、2.1.252で確認）で未修正とされています。最新版へのアップデートと、信頼できないリポジトリでのultrareview利用を控えることをおすすめします。
Q. この脆弱性はすでに悪用されていますか。
A. The Hacker Newsが米国CISAの「悪用が確認された脆弱性」カタログを確認した限りでは、2026年9月2日時点でこれらのCVEはリストに含まれておらず、実際の悪用は報告されていません。ただし研究者による技術的な実証は複数のエージェントで確認されています。
Q. Cursorはもう安全ですか。
A. Cursorについては修正が完了したと報告されています。ただしCursorでは今回とは別に、8月にも同種のパターン（サンドボックス起動前のコマンド実行）が指摘された経緯があるため、常に最新版を利用することが推奨されます。
Q. 個人利用でも対策は必要ですか。
A. 必要です。GitSpawnは企業・個人を問わず、AIコーディングエージェントを使ってリポジトリを開く全ての人が対象になり得ます。特にオープンソースのコードをzipでダウンロードして試す、勉強会で配布されたサンプルコードを開くといった場面はリスクが高いため注意してください。
まとめ
GitSpawnは、AIコーディングエージェントがバックグラウンドで実行しているgitコマンドの挙動を悪用し、リポジトリを開くだけで任意のコードを実行させる脆弱性です。Claude Code、Cursor、Codexなど主要7エージェントで同種の問題が確認され、記事公開時点でも複数のツールが未修正のままとなっています。モデル自体の欠陥ではなく、起動時の地味な裏方処理に起因する点が特徴で、AIエージェントを日常的に使う開発者であれば誰でも影響を受ける可能性があります。まずは利用中のエージェントを最新版に更新し、.git/configの中身を確認する習慣をつけることから始めましょう。
関連記事
参考・引用元
- GitSpawn: A Single Flaw Lets Untrusted Repos Run Code in Claude Code, Codex, Cursor, and Grok（Manifold Security）
- Malicious .git Configs Can Make Claude, Codex, Cursor, and Other AI Agents Run Attacker Code（The Hacker News）
- goose CVE-2026-72718 セキュリティアドバイザリ（GitHub）
- Claude Arbitrary Code Execution（Sonar）
