Celah GitSpawn: Kenapa AI Coding Agent Bisa Dieksploitasi Sebelum Kamu Sempat Klik Apa Pun

Bayangkan kamu membuka sebuah folder project di AI coding agent favoritmu, cuma untuk melihat struktur kodenya. Belum sempat mengetik satu prompt pun, belum ada tombol persetujuan yang kamu klik, tapi di latar belakang agent itu sudah menjalankan perintah yang ditanam oleh orang lain. Itulah yang ditemukan tim peneliti keamanan Manifold Security lewat celah yang mereka namai GitSpawn, dan menurut laporan The Hacker News, celah ini memengaruhi sejumlah AI coding agent populer termasuk Claude Code, Codex, dan Cursor.

Yang bikin temuan ini menarik bukan cuma daftar tools yang terdampak, tapi di mana persisnya letak masalahnya. Menurut Manifold, "kerentanannya bukan di model, atau di sesuatu yang baru. Letaknya ada di pipa ledeng biasa di bawahnya, subprocess yang dijalankan agent begitu sesi dimulai untuk mencari tahu di mana ia berada."

Bagaimana Celah Ini Bekerja

GitSpawn memanfaatkan pengaturan Git bernama core.fsmonitor, fitur sah yang sebenarnya dipakai Git untuk mendeteksi file yang berubah saat proses seperti git status atau git diff berjalan. Banyak AI coding agent menjalankan perintah Git semacam ini di latar belakang untuk mengetahui branch aktif dan file mana saja yang berubah.

Masalahnya, sejumlah agent membaca konfigurasi ini langsung dari file .git/config milik repository tanpa menyaringnya lebih dulu. Penyerang bisa menyisipkan perintah berbahaya ke pengaturan core.fsmonitor, dan begitu agent membuka repository tersebut, perintah itu langsung berjalan dengan hak akses milik kamu sendiri. Yang membuatnya lebih berbahaya, eksekusi ini terjadi di luar sandbox agent dan sebelum prompt keamanan sempat muncul di layar.

Siapa Saja yang Terdampak

Menurut laporan tersebut, sebagian vendor sudah menambal celah ini. Goose (versi sebelum 1.44.0), Claude Code (jalur utama, ditambal di versi 2.1.196), Cursor, dan Codex CLI (ditambal di versi 0.131.0) sudah memperbaiki masalah ini setelah dilaporkan pada akhir Juni 2026.

Namun per 1 September 2026, beberapa agent lain masih rentan, termasuk Hermes Agent, Qwen Code, Grok Build, dan yang cukup mengejutkan, ditemukan jalur kedua di Claude Code sendiri lewat perintah claude ultrareview yang masih aktif di versi 2.1.252. OpenAI bahkan sampai menerbitkan tiga CVE resmi pada 2 September 2026 untuk kerentanan sejenis di Codex, salah satunya CVE-2026-19592 yang secara spesifik menyebut "helper berjalan di luar sandbox perintah Codex dan tanpa prompt persetujuan pengguna, sehingga kode yang dikendalikan penyerang bisa berjalan dengan hak akses pengguna."

Kenapa Ini Beda dari Bug Biasa

Serangan ini butuh syarat tertentu, yaitu repository harus tiba dalam bentuk folder .git yang masih utuh, misalnya lewat arsip yang dibagikan, drive bersama, folder sinkronisasi, atau flashdisk. Kloning repository dengan cara normal lewat git clone tidak akan membawa konfigurasi berbahaya semacam ini.

Yang membuat celah ini berbahaya bukan soal seberapa sering skenario itu terjadi, tapi soal apa yang bisa dilewatinya. Di agent yang masih rentan, payload berbahaya bisa berjalan sebelum prompt kepercayaan workspace disetujui, sebelum autentikasi, bahkan sebelum kamu sempat mengetik apa pun. Tidak ada pemanggilan model, tidak ada persetujuan tool, tidak ada konfirmasi pengguna yang dilewati, karena memang belum ada satu pun dari itu yang sempat terjadi.

Sampai laporan ini diterbitkan, belum ada laporan eksploitasi nyata di lapangan, dan katalog Known Exploited Vulnerabilities milik CISA juga belum mencantumkan CVE-CVE ini per 2 September 2026. Tapi seperti kata Manifold, ini soal di mana letak kepercayaan itu diberikan, bukan soal apakah sudah pernah disalahgunakan atau belum.

Yang Bisa Kamu Pelajari dari Sini

Kalau kamu terbiasa membuka repository dari sumber luar di AI coding agent, langkah paling sederhana adalah mengecek isi .git/config lebih dulu sebelum membukanya, terutama baris core.fsmonitor dan core.hooksPath. Kamu juga bisa menonaktifkan fitur ini secara default lewat git config --global core.fsmonitor false. Tapi pelajaran yang lebih besar dari kasus GitSpawn sebenarnya soal desain, bukan soal kebiasaan pengguna. Celah ini bisa terjadi karena ada subprocess yang berjalan di luar batas sandbox yang seharusnya membatasi apa yang boleh dilakukan agent. Ini juga alasan kenapa apa saja yang boleh dijalankan AI di balik layar perlu dibatasi lewat allowlist yang ketat, bukan cuma mengandalkan model untuk "tahu diri" perintah mana yang aman dijalankan. Semakin banyak langkah tersembunyi yang dilakukan sebuah tool sebelum kamu sempat melihat atau menyetujuinya, semakin penting memastikan langkah-langkah itu berjalan di ruang yang benar-benar terkurung, bukan cuma di ruang yang terlihat aman.

Recap

GitSpawn menunjukkan bahwa risiko AI coding agent tidak selalu datang dari jawaban model yang keliru atau kode yang salah. Kadang risikonya justru datang dari plumbing di baliknya, bagian yang jarang dilihat pengguna tapi berjalan lebih dulu dari apa pun yang mereka lakukan. Kalau kamu memakai AI untuk membangun aplikasi, ini kenapa menanyakan "apa yang dijalankan di balik layar dan di ruang seperti apa" sama pentingnya dengan menanyakan "seberapa bagus hasilnya".