Você não precisa baixar nada suspeito para um agente de código rodar comando de invasor na sua máquina. Basta ele analisar o .git/config de um repositório que chegou até você por pen drive, pasta compartilhada ou backup, e nunca ter passado por um git clone normal.
O que é a falha GitSpawn, e como ela funciona?
A configuração core.fsmonitor do Git permite declarar um comando externo para identificar arquivos alterados, usado em operações comuns como git status e git diff. O problema: vários agentes de código rodam esse comando em segundo plano, direto do .git/config do próprio repositório, sem pedir aprovação nenhuma. Se o comando ali for malicioso, o agente executa ele como se fosse seu, fora de qualquer sandbox das próprias ferramentas do agente.
A exploração exige uma condição específica: o repositório precisa chegar com a pasta .git intacta, algo que um arquivo zip, uma pasta compartilhada, um pen drive ou um backup preservam, mas um git clone comum não gera.
Quais agentes foram afetados, e quem corrigiu primeiro?
A empresa de segurança Manifold identificou oito falhas em sete agentes de código, batizando a classe de vulnerabilidade de GitSpawn (divulgação completa, 01/09/2026). No mesmo dia, a própria OpenAI publicou três CVEs distintos para o Codex, cada um creditado a um grupo de pesquisa diferente. O GitHub atribuiu nota CVSS 7.0 à CVE-2026-72718.
| Ferramenta | Versão vulnerável | Situação em 01/09/2026 |
|---|---|---|
| goose | anterior à 1.44.0 | Corrigido |
| Codex CLI | até 0.130.0 | Corrigido na 0.131.0 |
| Codex Desktop (macOS/Windows) | múltiplas versões | Corrigido |
| Cursor | anterior ao patch | Corrigido 3 semanas antes da divulgação |
| Claude Code | 2.1.193 | Corrigido na 2.1.196, só nesse caminho |
| Hermes Agent | 0.18.2 e 0.21.0 | Ainda vulnerável |
| Qwen Code | 0.19.6 e 0.22.3 | Ainda vulnerável |
| Grok Build | 0.2.93 e 1.0.13 | Ainda vulnerável |
Fonte: Manifold Security, 01/09/2026, e cobertura do The Hacker News. Zero exploração documentada até a publicação.
Corrigir um caminho da falha é suficiente?
Não necessariamente, e é aqui que o caso fica interessante. O Claude Code corrigiu o caminho via core.fsmonitor na versão 2.1.196. A mesma pesquisa, retestando depois desse patch, confirmou um segundo caminho para o mesmo tipo de execução, dessa vez via claude ultrareview, ainda ativo na versão 2.1.252.
O ponto real não é qual ferramenta "ganhou" ou "perdeu". É que corrigir uma vulnerabilidade específica não fecha a classe inteira do problema: qualquer lugar do agente que confia em configuração fornecida pelo repositório, antes de qualquer prompt de confiança, é candidato ao próximo GitSpawn.
Isso significa que devo parar de usar agente de código?
Não. O vetor exige um cenário específico (repositório chegando com .git intacto fora de um clone normal), e nenhuma exploração real foi documentada até a publicação da pesquisa. Mas o padrão vale a pergunta: antes de confiar num agente com acesso total ao seu terminal, vale saber se ele pede aprovação pra rodar QUALQUER comando vindo da configuração do repositório, não só do código que você está lendo.
Verificamos o código-fonte público da Verboo Code e não encontramos uso de core.fsmonitor nem core.hooksPath. Não é garantia contra toda a classe de risco, é o que confirmamos até agora, e é o tipo de checagem que devia ser rotina em qualquer agente que roda no seu terminal. Conheça a Verboo Code em verboo.ai.
