Kehittäjä saa kollegalta zip-paketin, purkaa sen työpöydälle ja avaa kansion koodiagentilla. Ennen kuin agentti ehtii kysyä, luottaako käyttäjä tähän hakemistoon, hyökkääjän valitsema ohjelma on jo käynnistynyt. Mitään ei ole klikattu.
Ketju on lyhyt. Projektikansion mukana tulee piilotettu .git-hakemisto, jonka asetustiedostoon on kirjoitettu rivi, joka nimeää ajettavan ohjelman. Agentti ajaa käynnistyessään rutiinikomennon, jolla se selvittää missä haarassa ollaan ja mitä tiedostoja on muutettu. Git lukee asetuksen kansiosta itsestään ja käynnistää nimetyn ohjelman käyttäjän oikeuksilla, ilman hiekkalaatikkoa ja ilman hyväksyntäkehotetta.
Yhdysvaltalainen tietoturvayhtiö Manifold Security julkisti kahdeksan tällaista haavoittuvuutta seitsemässä komentorivin koodiagentissa ja kutsuu kokonaisuutta GitSpawniksi. Kyse ei ole kehotusinjektiosta, jossa malli johdetaan harhaan piilotetulla ohjeella. AI Suomi kertoi elokuussa tutkimuksesta, jossa piilotettu ohje kaappasi koodiagentin 84 kertaa sadasta (aisuomi.fi/artikkelit/piilotettu-ohje-kaappasi-koodiagentin-84-kertaa-sadasta). Tässä mallia ei tarvita lainkaan.
“Haavoittuvuus ei ole mallissa eikä missään uudessa. Se on tavallisessa putkistossa sen alla, siinä aliprosessissa jonka agentti käynnistää istunnon alussa selvittääkseen, missä se on.”
Mikä on korjattu ja mikä ei
Uutinen ei ole itse aukko vaan korjaustilanne. Manifold ajoi testinsä uudestaan 1. syyskuuta ja julkaisi tulokset versionumeroineen. Korjattujen puolella ovat goose, jonka versio 1.41.0 oli haavoittuva ja 1.44.0 ei, OpenAI:n Codex, Cursor sekä Claude Coden se reitti, joka nojaa gitin core.fsmonitor-asetukseen. Anthropic sai ilmoituksen 26. kesäkuuta ja korjasi reiän versioon 2.1.196 kolmessa päivässä, mutta ei julkaissut asiasta tiedotetta.
Auki olivat syyskuun alussa Hermes Agent (haavoittuva 0.18.2, sama vika yhä versiossa 0.21.0), Alibaban Qwen Code (0.19.6, yhä uusimmassa saatavilla olevassa 0.22.3) ja xAI:n Grok Build (0.2.93, yhä 1.0.13). Neljäs avoin reitti löytyy Claude Codesta. Raportin mukaan komento claude ultrareview ajaa repon antaman komennon ennen kuin arviointi ehtii alkaa. Manifold ilmoitti siitä versiosta 2.1.210 ja vahvisti sen toimivan yhä versiossa 2.1.252.
Seitsemästä testatusta agentista neljällä oli uusintatestin hetkellä yhä avoin reitti. Luku on AI Suomen laskelma Manifoldin julkaisemasta versiotaulukosta, jossa Claude Code esiintyy sekä korjattujen että korjaamattomien puolella, koska sen kaksi reittiä ovat eri tilassa.
Ajoituksessa on koko juju. Claude Codella ja Hermes Agentilla koodi ajetaan ennen työtilan luottamuskysymystä, Qwen Codella ennen käyttäjän kirjautumista ja Grok Buildilla heti ensimmäisestä näppäinpainalluksesta.
Miksi tällä on väliä
Koodiagentti ajaa samoilla oikeuksilla kuin ihminen, joka sen käynnisti. Se tarkoittaa pääsyä SSH-avaimiin, pilvitunnuksiin ja ympäristömuuttujiin, jotka useimmilla kehittäjillä ovat samassa kotihakemistossa. Yrityksessä yksi purettu zip-paketti voi vuotaa tuotantoympäristön avaimet, eikä lokeihin jää mitään poikkeavaa: agentti teki vain sen, mitä agentit tekevät käynnistyessään.
Riski keskittyy tilanteisiin, joissa koodi ei tule suoraan versionhallinnasta vaan liitteenä, jaetulta levyltä tai muistitikulta. Kloonattaessa git jättää lähdekoneen paikalliset asetukset tuomatta, mutta pakattu kansio tuo ne mukanaan. Rekrytoinnin koodikokeet, asiakkaan toimittamat aineistot ja konferenssien esimerkkiprojektit liikkuvat juuri näin.
OpenAI kuvasi omaa Codex-haavoittuvuuttaan CVE-tiedotteessaan näin: "Apuohjelma ajetaan Codexin komentohiekkalaatikon ulkopuolella ja ilman käyttäjän hyväksyntäkehotetta, jolloin hyökkääjän hallitsema koodi voi ajaa käyttäjän oikeuksilla." Manifoldin raportin ja The Hacker Newsin uutisoinnin perusteella Alibaba, xAI eikä Hermes Agentin takana oleva Nous Research ole kommentoineet korjaamattomia reikiä julkisuudessa. xAI sulki Manifoldin heinäkuisen ilmoituksen kaksoiskappaleena.
Merkkejä oikeista hyökkäyksistä ei toistaiseksi ole. Mikään aukkojen CVE-tunnuksista, joihin kuuluvat goosen CVE-2026-72718, Codexin CVE-2026-19592 ja Claude Coden CVE-2026-55607, ei ollut 2. syyskuuta Yhdysvaltain kyberturvallisuusviraston CISA:n hyväksikäytettyjen haavoittuvuuksien luettelossa.
