Technischer Ausgangspunkt ist die Git-Einstellung core.fsmonitor. Ihr Wert ist ein Befehl, den Git ausführt, um geänderte Dateien zu ermitteln — und Git liest ihn aus der Datei .git/config des jeweiligen Repositorys. Jede Operation, die den Index auffrischt, darunter git status und git diff, startet diesen Befehl. KI-Coding-Agenten rufen genau solche Kommandos im Hintergrund auf, um Branch und geänderte Dateien zu bestimmen, und lassen die Repository-Konfiguration dabei unangetastet.
“Die Schwachstelle steckt nicht im Modell und auch nicht in etwas Neuem. Sie steckt in der gewöhnlichen Installation darunter — in dem Subprozess, den ein Agent beim Sitzungsstart startet, um herauszufinden, wo er sich befindet”, schreibt Manifold, das die Ergebnisse unter dem Namen GitSpawn veröffentlicht hat. Fünf der acht Fälle sind ausführlich dokumentiert; das Muster habe man in mehr Agenten gefunden, als namentlich genannt werden.
Der Zeitpunkt der Ausführung variiert: Bei Claude Code und Hermes Agent feuert die Nutzlast, bevor die Workspace-Trust-Abfrage bestätigt ist, bei Qwen Code bereits vor der Authentifizierung des Nutzers, bei Grok Build beim ersten Tastendruck.
In goose baut der Befehl goose review seine Git-Aufrufe mit nur einem Konfigurations-Flag (-c core.quotePath=off) und filtert nichts weiter. GitHub vergab dafür CVE-2026-72718 mit einem CVSS-4.0-Basiswert von 7,0 — der einzige Score unter allen Funden — und nennt Francisco Rosales als Entdecker. Laut Advisory führt der Aufruf in einem bösartigen Repository Angreifercode aus, “ohne eingereichten Prompt, ohne Modellaufruf, ohne Werkzeugfreigabe, ohne Trust-Abfrage” — der Befehl laufe, bevor goose überhaupt das Modell kontaktiert.
OpenAI beschreibt die Klasse im Datensatz zu CVE-2026-19592 so: Der Helfer laufe außerhalb der Kommando-Sandbox von Codex und ohne Nutzerfreigabe, angreiferkontrollierter Code erhalte die Rechte des Nutzers und könne dessen Dateien lesen, verändern oder löschen. Aktuelle Codex-CLI-Version ist 0.152.1; Installationen unterhalb von 0.131.0 bleiben angreifbar.
Sonar hatte dieselbe Senke bereits im April gemeldet und darauf hingewiesen, dass Anthropic die Startsequenz schon einmal verschoben hatte: In Version 2.0.34 werde git status nicht mehr vor der Trust-Bestätigung ausgeführt, “ein verwandtes Problem blieb jedoch bestehen”. Dieselbe Umgehung der Trust-Abfrage fand Sonar in Visual Studio Code vor 1.63.1 (CVE-2021-43891) und in JetBrains-IDEs vor 2021.3.1 (CVE-2022-24346). Version 2.0.34 erschien am 5. November 2025, dasselbe Startverhalten meldet Manifold erneut in 2.1.193 vom 25. Juni 2026. Anthropics Advisory zu CVE-2026-55607 benennt die fsmonitor-Ausführung bei Worktree-Operationen.
Fünf von Manifolds Meldungen wurden als Duplikate unabhängig eingereichter Funde geschlossen, eine davon am selben Tag. Der Claude-Code-Fund zu core.fsmonitor ging am 26. Juni ein und war laut Manifold mit 2.1.196 am 29. Juni behoben — ein Advisory veröffentlichte Anthropic nicht; The Hacker News bestätigte am 2. September, dass der publizierte Advisory-Eintrag zum npm-Paket keinen der beiden Claude-Code-Funde abdeckt. Der zweite Pfad über claude ultrareview aktiviert einen anderen, von Manifold zurückgehaltenen Git-Konfigurationsschlüssel und wurde am 1. September in 2.1.252 bestätigt, aktuelle Version ist 2.1.258.
Alibabas Security Response Centre nahm den Qwen-Code-Bericht am 7. Juli an; die nachgetestete Version 0.22.3 ist laut npm-Registry weiterhin die aktuellste Veröffentlichung. Bei Nous Research’ Hermes Agent — den ein Angreifer im Juli unbeaufsichtigt bei einem Einbruch in ein thailändisches Regierungsnetz einsetzte — blieben sechs Kontaktversuche über fünf Kanäle ohne Reaktion, das private Advisory unbearbeitet. VulnCheck vergab laut Manifold CVE-2026-71963; einen veröffentlichten Eintrag dazu fand The Hacker News am 2. September in der MITRE-CVE-Liste nicht. xAI schloss einen früheren Bericht derselben Klasse am 1. Juli als “informativ” und Manifolds Meldung vom 14. Juli als Duplikat. Separate Forschung am selben Build 0.2.93 fand zudem, dass Grok Build ganze Git-Repositories in xAI-Speicher hochlud — xAI reagierte darauf auf X statt per Advisory. In Cursor CLI dokumentierte Manifold dieselbe Klasse drei Wochen zuvor.
In der KEV-Liste der CISA (Version 2026.09.01, 1.687 Einträge) findet sich keiner der CVEs. Cobalt hatte in einem Red-Team-Bericht im Dezember festgehalten: “Der Missbrauch von FSMonitor nutzt eine legitime Funktion aus, keinen Fehler. Er verbindet Gits Flexibilität mit der Automatisierung moderner IDEs und macht aus dem Öffnen eines Repositorys eine Codeausführung.”