dev.to 讲的「打开仓库即攻击 Agent」和 GitSpawn 差在哪
2026 年 9 月 19 日 dev.to 热文强调：AI 编程 Agent 打开恶意仓库即可被攻击。本文对照 GitSpawn、Plugin4Shell 与 Heapjack，给开发者一条决策树该先防哪条链。
2026 年 9 月 19 日 dev.to 文章 Your AI Coding Agent Can Be Attacked by the Repository It Opens 在 JEV 对 1550 条近期新闻的适配打分中位居前列（fit≈0.89）。标题抓的是共性：不必 npm install，只要 Agent 对仓库做 Git 状态、读配置、跑插件更新或 apply_patch，攻击面就打开。2026 年 9 月这不是单一 CVE，而是 GitSpawn、Plugin4Shell、Codex Heapjack 等多条链的公共叙事。
决策树：你面临哪种交付物
zip / USB 带完整
.git→ 优先 GitSpawn 与core.fsmonitor，见 intake checklist Layer A。Marketplace 已装插件、源 repo 被换 ref → Plugin4Shell；升 Claude ≥2.1.179、Codex ≥0.146.0，Copilot 假设未修。
只读模式打开陌生 repo 问代码 → Heapjack 类；升 Codex Desktop ≥26.818.21641。
Windows 根目录
git.exe→ CVE-2026-63093。MCP 工具返回带 ANSI 隐藏指令 → AESI 注入。
为什么「正规 git clone」仍不够
Clone 知名 remote 可降低 GitSpawn zip 向量，但 PR、fork、submodule 仍可能改 .git/config 或 .cursor/、CLAUDE.md 指令。dev.to 文面向 vibe coder：强调「打开文件夹」本身就是高危。团队应把「Agent 打开 repo」与「人类 git clone」拆权限：CI bot 无 secret、本地主力机不直接开 CTF 仓库。
和 Claude Code「PC 控制权」讨论
同期 Medium/TowardsAI 类标题常夸大 Agent 权限；可核对 Anthropic 官方 permission 与 sandbox 文档，并结合 2.1.278 服务端 auto 分类 理解「何时自动执行」。恐惧叙事有用，但 remediation 必须落到版本号与 checklist。