Celah Kritis di Agen AI Coding Dari Claude hingga Codex

Celah Kritis di Agen AI Coding Dari Claude hingga Codex – Perusahaan keamanan Manifold Security mendokumentasikan delapan celah keamanan yang dilabeli sebagai GitSpawn pada tujuh agen pengodean AI berbasis command-line (AI coding agents).

Kerentanan ini memungkinkan peretas mengeksekusi perintah jahat di perangkat pengembang (developer) melalui berkas konfigurasi Git internal yang ada di dalam repositori proyek.

Celah keamanan ini berjalan dengan hak akses pengguna (user privileges), berada di luar batasan isolasi agen (sandbox), serta dieksekusi secara otomatis tanpa memicu konfirmasi atau permintaan persetujuan dari pengguna (user-approval prompt).

Eksploitasi ini mensyaratkan repositori diterima langsung sebagai berkas utuh beserta direktori .git/config-nya, seperti melalui arsip ZIP, shared drive, folder sinkronisasi, atau USB flashdisk, sedangkan proses kloning biasa (git clone) umumnya tidak membawa celah ini.

Daftar Agen AI dan Versi Terdampak

Berikut adalah rincian agen pengodean AI yang teridentifikasi terdampak oleh Manifold Security dan produsen terkait:

goose: Seluruh versi sebelum 1.44.0 terdampak. Telah diperbaiki pada versi 1.44.0. (GitHub menetapkan kode CVE-2026-72718 dengan skor CVSS 7.0).
Codex CLI (OpenAI): Versi 0.102.0 hingga 0.130.0 terdampak. Telah diperbaiki pada versi 0.131.0 (OpenAI menerbitkan CVE-2026-19592).
Codex Desktop for macOS & Windows: Terdampak pada versi awal 2026 dan telah diperbaiki pada pembaruan versi 26.519.x.
Claude Code (Anthropic): Terdampak pada versi 2.1.193 dan telah diperbaiki pada versi 2.1.196 untuk jalur core.fsmonitor. Namun, jalur kedua via claude ultrareview terkonfirmasi masih aktif pada versi 2.1.252.
Hermes Agent (Nous Research): Versi 0.18.2 dan 0.21.0 terkonfirmasi terdampak. Perbaikan masih tertunda (CVE-2026-71963).
Qwen Code (Alibaba): Versi 0.19.6 dan 0.22.3 terkonfirmasi terdampak. Perbaikan masih dalam proses.
Grok Build (xAI): Versi 0.2.93 dan 1.0.13 terkonfirmasi terdampak. Laporan perbaikan masih dalam proses duplikasi.

Mengapa Fitur Legitimasi Menjadi Bumerang?

Peneliti keamanan menekankan bahwa penyalahgunaan core.fsmonitor sebenarnya mengeksploitasi fitur resmi Git, bukan bug pada model AI itu sendiri.

Masalah utamanya terletak pada otomatisasi agen AI yang memanggil perintah subprocess di latar belakang saat sesi baru dimulai.

Saat pengembang membuka direktori repositori berbahaya, agen AI secara otomatis memanggil skrip Git untuk mengidentifikasi status repositori.

Karena agen tidak mematikan fungsi core.fsmonitor saat memanggil subprocess tersebut, Git membaca skrip eksternal yang dimasukkan peretas ke dalam berkas .git/config.

Skrip tersebut kemudian mengeksekusi kode sembarang dengan hak akses penuh pengguna, yang berpotensi membaca, mengubah, atau menghapus berkas penting pengembang.

Langkah Penting dan Mitigasi Bagi Pengembang (Developers)

Para pengembang dan tim keamanan TI diimbau untuk segera melakukan langkah-langkah pencegahan berikut:

Audit Berkas Konfigurasi Git: Sebelum membuka direktori proyek yang diterima dari pihak luar menggunakan agen AI, periksa berkas .git/config. Waspadai keberadaan entri core.fsmonitor, core.hooksPath, atau attr.tree.
Periksa Konfigurasi via Terminal: Jalankan perintah berikut di dalam repositori yang diterima dalam bentuk berkas utuh: git config --get core.fsmonitor
Matikan Fitur FSMonitor secara Global: Untuk mencegah eksekusi otomatis yang tidak diinginkan, matikan pengaturan core.fsmonitor di tingkat sistem global dengan perintah: git config --global core.fsmonitor false
Pembaruan Perangkat Lunak: Segera perbarui agen AI coding Anda ke versi terbaru. Bagi pengguna Codex CLI, pastikan tidak menggunakan versi di bawah 0.131.0.
Praktik Vendor Agen AI: Pengembang alat agen AI disarankan untuk selalu menambahkan bendera penonaktifan parameter saat memanggil perintah latar belakang, seperti menggunakan git -c core.fsmonitor=false status.