你的 AI 编码 Agent 可能被它打开的仓库攻击

文章指出 AI 编码 Agent 会读取仓库中的指令、配置、脚本、agent skills 和 MCP 工具，使仓库成为新的信任边界。GitHub 已警告仓库内 skills 未经验证，可能包含 prompt injection、隐藏指令或恶意脚本。文中引用 GitSpawn 安全发现：恶意 Git core.fsmonitor 配置可在 Agent 执行 git status、git diff 等常规操作时触发攻击者代码，涉及 Claude Code、OpenAI Codex、Cursor、Goose、Qwen Code、Grok Build、Hermes Agent 等工具。作者强调并非所有版本都会被攻破，厂商可修补，但打开不可信仓库仍存在风险。

AI推荐理由 文章提出一个具体且被低估的安全边界问题：AI 编码 Agent 在打开仓库时会读取指令、配置、脚本、agent skills 和 MCP 工具，因此仓库本身成为攻击面。文中引用 GitHub 对仓库内 skills 未经验证、可能含 prompt injection 或恶意脚本的警告，并提到 GitSpawn 研究涉及 Git core.fsmonitor 配置可在 Agent 执行 git status/git diff 等常规操作时触发攻击者代码，点名 Claude Code、OpenAI Codex、Cursor、Goose、Qwen Code、Grok Build、Hermes Agent 等受影响工具。局限是来源为 DEV Community 个人文章，属二手转述，未给出原始研究链接或复现细节，且明确说明并非所有版本都会被攻破，厂商可修补。对开发者和 Agent 工具使用者有实际安全提示价值，但证据强度中等。