ไฟล์ตั้งค่า Git ที่ถูกดัดแปลง สั่งให้เอเจนต์ AI ช่วยเขียนโค้ดรันคำสั่งของผู้โจมตีได้

นักวิจัยเปิดเผยเทคนิคที่เรียกว่า GitSpawn ซึ่งอาศัยการตั้งค่าปกติของ Git ในไฟล์ .git/config ทำให้เอเจนต์ AI ช่วยเขียนโค้ดรันคำสั่งของผู้โจมตีทันทีที่เปิดโฟลเดอร์โปรเจกต์ โดยไม่ต้องให้ผู้ใช้กดยืนยันใด ๆ

ทีมวิจัยของ Manifold Security เปิดเผยผลการศึกษาภายใต้ชื่อ GitSpawn เมื่อวันที่ 2 กันยายน 2026 โดยชี้ว่าเอเจนต์ AI ที่ช่วยเขียนโค้ดหลายตัวสามารถถูกหลอกให้รันคำสั่งของผู้โจมตีได้ เพียงแค่ผู้ใช้เปิดโฟลเดอร์ของโปรเจกต์ที่มีไฟล์ตั้งค่า Git ที่ถูกดัดแปลงไว้ ประโยคที่นักวิจัยใช้สรุปแก่นของปัญหาคือ ช่องโหว่นี้ไม่ได้อยู่ที่ตัวโมเดลหรือของใหม่อะไรเลย แต่อยู่ที่ท่อประปาธรรมดาที่วางอยู่ข้างใต้

กลไกอาศัยการตั้งค่าชื่อ core.fsmonitor ซึ่งเป็นความสามารถปกติของ Git ที่ให้ระบุคำสั่งภายนอกสำหรับตรวจว่าไฟล์ใดเปลี่ยนไปบ้าง เพื่อเร่งความเร็ว เมื่อเอเจนต์เรียกคำสั่ง Git ตามปกติเพื่อดูสถานะของโปรเจกต์ เช่น git status หรือ git diff คำสั่งที่ผู้โจมตีกำหนดไว้ก็จะถูกรันไปด้วย โดยอยู่นอกแซนด์บ็อกซ์ของเอเจนต์และเกิดขึ้นก่อนหน้าจอถามความไว้ใจพื้นที่ทำงานหรือขั้นตอนยืนยันตัวตนในเอเจนต์บางตัว

นักวิจัยพบเอเจนต์ที่ได้รับผลกระทบรวมแปดตัวในหลายเวอร์ชัน โดยมีการออกหมายเลขช่องโหว่ให้บางส่วน ได้แก่ CVE-2026-72718 สำหรับ goose ที่คะแนน CVSS 7.0, CVE-2026-19592 และรายการอื่นในฝั่ง Codex และ CVE-2026-71963 สำหรับ Grok Build ทั้งนี้ goose แก้ไขแล้วในเวอร์ชัน 1.44.0 ส่วน Codex ทั้งแบบบรรทัดคำสั่งและเดสก์ท็อป รวมถึง Claude Code และ Cursor ได้ทยอยออกแพตช์แล้วเช่นกัน ขณะที่บางเอเจนต์ยังไม่มีการแก้ไข ณ วันที่ 1 กันยายน 2026

สิ่งที่ทำให้เคสนี้น่าสนใจในเชิงหลักการคือมันไม่ใช่ช่องโหว่ของ AI แต่เป็นการที่เครื่องมือรุ่นใหม่ไปเรียกใช้เครื่องมือรุ่นเก่าโดยไม่ได้พิจารณาว่าเครื่องมือเก่านั้นเชื่อข้อมูลจากไฟล์ในโฟลเดอร์มากแค่ไหน ก่อนหน้านี้เมื่อเดือนเมษายน 2026 เคยมีรายงานปัญหาลักษณะใกล้เคียงกันมาแล้ว

สำหรับทีมพัฒนาไทยที่เริ่มใช้เอเจนต์ AI ช่วยเขียนโค้ดกับงานลูกค้า มาตรการที่ทำได้ทันทีมีสามข้อ ข้อแรกคือตรวจไฟล์ .git/config ก่อนเปิดโปรเจกต์ที่ได้รับมาจากภายนอก โดยเฉพาะโค้ดที่ลูกค้าหรือผู้รับเหมาช่วงส่งมาเป็นไฟล์บีบอัด ข้อสองคือใช้คำสั่ง git config --get core.fsmonitor เพื่อตรวจว่ามีการตั้งค่าแปลกปลอมหรือไม่ และปิดการใช้งานทั้งเครื่องด้วย git config --global core.fsmonitor false หากไม่ได้ใช้ประโยชน์จากฟีเจอร์นี้ ข้อสามคืออัปเดตเอเจนต์ที่ใช้อยู่ให้เป็นเวอร์ชันล่าสุดเสมอ และในระยะยาวควรรันเอเจนต์ในสภาพแวดล้อมที่แยกออกมา เช่น คอนเทนเนอร์ที่จำกัดสิทธิ์เครือข่ายและไฟล์ เพราะบทเรียนของเคสนี้คือขอบเขตความปลอดภัยของเอเจนต์กว้างกว่าตัวโมเดลมาก