보안 업체 매니폴드 시큐리티가 9월 1일 공개한 GitSpawn 은, 저장소의 .git/config 에 core.fsmonitor = <명령> 이 적혀 있으면 에이전트가 맥락을 모으려고 git status 같은 것을 돌리는 순간 git 이 그 명령을 대신 실행해 버리는 문제예요. 신뢰 확인 창도 도구 승인 절차도 거치기 전에 돌아서 에이전트의 권한 모델 바깥에서 사용자 권한으로 실행돼요. 클로드 코드·코덱스·커서·구스·큐원 코드·그록 빌드·헤르메스 일곱 제품에서 여덟 건을 찾았고 그중 넷만 고쳐졌는데, 구스 건은 CVE-2026-72718(CVSS 7.0)로 등록돼 1.44.0에서 막혔어요.
용어 풀이
- .git/config
- 저장소 폴더 안에 함께 들어 있는, 그 저장소에만 적용되는 git 설정 파일
- core.fsmonitor
- git 이 파일 변경을 빨리 알아채려고 대신 실행하는 외부 프로그램을 지정하는 설정 항목
- CVE
- 공개된 보안 취약점에 붙이는 국제 공통 식별 번호
- CVSS
- 취약점의 심각도를 0~10점으로 매기는 표준 점수 체계
운영자 인사이트
압축 파일·공유 드라이브·USB로 건네받은 저장소는 에이전트로 열기 전에 .git/config 부터 확인하세요 — 프로그램 이름을 담는 설정은 무엇이든 실행될 수 있어요. 클로드 코드의 코드 리뷰 경로가 아직 열려 있다는 건 매니폴드 쪽 주장이고, 2.1.258 변경 목록에도 git 설정을 걸러 낸다는 항목은 없어요.
여러 관점으로 보기
- 벤더 확인·수정 구스는 코드 리뷰 명령이 core.quotePath 만 걷어 내고 core.fsmonitor 는 그대로 둔 게 원인이었고, 1.44.0에서 막으면서 신고자를 매니폴드의 프란시스코 로살레스로 적었어요. GitHub Security Advisories
- 다른 벤더는 먼저 막아 뒀어요 오픈AI는 git 정보를 읽을 때 저장소가 지정한 fsmonitor 를 무시하도록 5월 14일에 이미 바꿨는데, 그 뒤 큰 저장소에서 느려진다는 지적이 붙어 후속 변경으로 이어졌어요. GitHub
- 수법 자체는 작년에 이미 공개됐어요 같은 core.fsmonitor 악용을 2025년 12월에 정리한 글이 있는데, 그때 방아쇠로 든 건 에이전트가 아니라 폴더를 열자마자 git status 를 돌리는 VS 코드·커서 같은 편집기였어요. Cobalt