GitSpawn 공개 한 달 뒤, 당시 미수정 4건 중 3건에서 수정 코드 확인

핵심 요약

먼저 알아 둘 용어

• .git/config는 저장소마다 있는 git 설정 파일입니다. 사용자 전체에 적용되는 전역 설정(~/.gitconfig)보다 우선합니다.
• core.fsmonitor는 파일이 많은 저장소에서 git status를 빠르게 하려는 설정입니다. git은 모든 파일을 검사하는 대신 이 설정에 적힌 프로그램에게 무엇이 바뀌었는지 묻습니다. git 공식 문서는 이 값에 내장 모니터를 켜는 true나 외부 프로그램 경로를 쓸 수 있다고 설명합니다. 경로가 들어 있으면 git은 그 프로그램을 실행합니다.
• 작업 공간 신뢰 확인은 처음 여는 폴더에서 "이 폴더를 신뢰하느냐"고 묻는 화면입니다. Manifold는 일부 에이전트가 이 화면이 뜨기 전, 일부는 로그인하기 전에 git을 실행했다고 보고했습니다.
• CVE와 GHSA는 공개된 보안 결함의 식별 번호입니다. CVE는 국제 공통 번호, GHSA는 GitHub 보안 권고 번호입니다.

GitSpawn은 무엇인가 — Manifold의 보고

Manifold Security의 공격 보안 엔지니어 Francisco Rosales가 2026-09-01 공개한 글의 요지는 이렇습니다.

• 경로: 에이전트가 맥락을 읽으려고 실행하는 git status·git diff는 실행 전에 인덱스(git이 파일 상태를 기록해 두는 목록)를 새로 고치고, 이때 저장소의 core.fsmonitor에 적힌 명령을 실행합니다. 에이전트가 저장소 설정을 걸러내지 않으면 그 명령이 사용자 권한으로 실행됩니다.
• 권한 밖: 이 명령은 에이전트 코드가 직접 시작한 하위 프로세스이므로, 샌드박스 바깥에서 승인 화면 없이 실행된다고 적었습니다.
• 전달 방식: git clone·fetch·pull로는 전달되지 않습니다. .git 폴더째 옮기는 경로, 즉 zip 파일·공유 드라이브·동기화 폴더·USB로 받은 프로젝트가 대상입니다. Manifold의 시연은 모두 zip을 썼습니다.
• 규모: 일곱 개 에이전트에서 8건을 찾았고, 공개 시점에 4건이 미수정이었습니다. 다섯 건은 다른 연구자가 먼저 같은 내용을 신고한 중복이었다고 적어, 여러 곳에서 독립적으로 발견되고 있다고 밝혔습니다. 이름을 밝히지 않은 다른 에이전트에서도 같은 결함을 찾았다고 적었습니다.

출처: Manifold Security 공개 글의 일정표. Manifold는 에이전트 실행 시점을 감시하는 제품을 파는 회사이고, 이 글은 그 회사의 자체 연구입니다. /ultrareview 건은 core.fsmonitor가 아닌 다른 설정 키이며, 미수정이라는 이유로 키 이름을 공개하지 않았습니다.

한 달 뒤 — 미수정 4건의 현재 기록

에이전트를 직접 실행해 확인하지는 않았습니다. 아래 내용은 2026-10-07에 각 개발사의 공개 저장소·변경 기록·보안 권고·CVE 레코드를 확인해 정리한 것입니다.

이미 수정된 쪽에도 참고할 기록이 있습니다. Claude Code의 core.fsmonitor 건은 Manifold가 2.1.196에서 수정됐다고 적었지만, 변경 기록의 2.1.196 항목에는 이 수정이 따로 적혀 있지 않습니다. 같은 계열의 다른 경로인 "작업 트리 안의 중첩 저장소가 설정한 clean 필터를 Claude Code 자체 git 호출이 실행하던 문제"는 2.1.265(9/8)에서 고쳐졌다고 적혀 있습니다. Goose는 GitHub 보안 권고 GHSA-r5pp-p5r8-466r(7/24 공개, 1.44.0 미만 영향)로 수정 사실을 공개했고, 최신 릴리스는 v1.53.0입니다.

직접 시험 — git은 어떤 명령에서 실행하고, 무엇으로 막히는가

에이전트는 실행하지 않고 git만 시험했습니다. 환경은 macOS, git 2.53.0입니다. 시험용 저장소의 .git/config에 core.fsmonitor로 기록 파일에 한 줄을 남기고 끝나는 스크립트를 걸어 두고, 명령마다 기록이 남는지 셌습니다. 스크립트는 실행될 때마다 기록을 남기므로, 아래 표의 숫자는 명령 한 번에 스크립트가 실행된 횟수입니다.

Manifold가 예로 든 git status --porcelain=2 --branch와 git diff --name-only HEAD는 모두 스크립트를 실행했습니다. 스크립트를 실행한 명령 계열은 status·diff·ls-files 세 가지입니다. 작업 트리(체크아웃된 실제 파일들)의 변경을 확인하는 명령은 인덱스를 새로 고치므로, 에이전트가 프로젝트 상태를 파악하려고 흔히 쓰는 명령이 곧 실행 경로가 됩니다.

전달 경로도 확인했습니다. 시험 저장소를 git clone한 사본에는 core.fsmonitor 설정이 없었고, zip으로 묶었다 푼 사본에는 설정이 그대로 남아 git status에서 스크립트가 실행됐습니다. Manifold의 "clone으로는 전달되지 않고 폴더째 옮길 때만 전달된다"는 설명과 일치합니다.

git 공식 문서는 환경변수 GIT_CONFIG_COUNT로 넣은 설정이 "설정 파일의 값보다 우선하고, git -c로 명시한 값보다는 뒤진다"고 적고 있습니다. 시험 결과도 그대로였습니다. 이 방법은 core.fsmonitor 하나만 막는다는 점에 주의해야 합니다. 앞 절의 수정 PR들이 함께 다룬 다른 실행 경로(diff.external, 필터, 훅 경로)는 이 시험에서 확인하지 않았습니다.

체크리스트

아직 결론이 아닌 것

• 에이전트를 실행해 확인하지 않았습니다. 각 에이전트의 현재 상태는 개발사 저장소·변경 기록·보안 권고·CVE를 읽고 판단한 것입니다. 수정 코드가 있다는 것과 그 경로가 실제로 막혔다는 것은 같지 않습니다.
• Grok Build는 배포 버전을 확정하지 못했습니다. 공개 소스에 보호 코드가 들어간 날짜(8/31)는 확인했지만, npm으로 배포되는 버전 중 어느 것부터 포함됐는지는 기록으로 연결되지 않습니다.
• Claude Code /ultrareview 건은 확인하지 못했습니다. 보고된 설정 키가 공개되지 않아, 변경 기록의 관련 항목이 그 수정인지 알 수 없습니다.
• 직접 시험에서는 git의 core.fsmonitor 동작만 다뤘습니다. macOS, git 2.53.0 한 환경입니다. 다른 실행 설정(diff.external, 필터, 훅 경로)과 다른 git 버전·운영체제는 시험하지 않았습니다.
• 근거의 상당 부분이 보안 회사 한 곳의 글입니다. Manifold는 관련 제품을 파는 회사입니다. 다만 Hermes의 수정 PR과 VulnCheck의 CVE, Goose의 보안 권고가 같은 결함을 독립적으로 기록하고 있습니다.
• Manifold가 이름을 밝히지 않은 다른 에이전트에서도 같은 결함을 찾았다고 적었으므로, 이 표에 없는 도구가 안전하다는 뜻은 아닙니다.

참고자료

모두 2026-10-07에 원문을 열어 확인했습니다.

개발사가 수정을 릴리스하거나 Manifold가 추가 내용을 공개하면 이 글을 고치고 개정 날짜를 적겠습니다.