GitSpawn คืออะไร และทำไม AI Coding Agent ถึงตกเป็นเป้า
GitSpawn คือชื่อชุดช่องโหว่ที่อธิบายวิธีที่ผู้ไม่หวังดีฝังการตั้งค่า Git อันตรายในโฟลเดอร์ .git ของ repository เพื่อหลอกให้ AI coding agent ที่ช่วยเขียนโค้ดรันคำสั่งตามที่ผู้โจมตีกำหนดบนเครื่องนักพัฒนาโดยอัตโนมัติ เมื่อ agent เหล่านี้สแกนโค้ดและเรียกคำสั่ง Git เช่น git status หรือ git diff จึงกลายเป็นการเปิดช่องรันโค้ดอันตราย โดยที่ผู้ใช้ไม่ได้อนุญาตอย่างชัดเจนและอยู่นอก sandbox ของตัว agent เอง
ใจความสำคัญคือ AI coding agent security ไม่ได้พังเพราะโมเดลฉลาดเกินไป แต่พังเพราะโครงสร้างพื้นฐานรอบตัวมันที่ออกแบบมาสำหรับโลกเดิม โดยรายงานจาก Manifold Security พบช่องโหว่ 8 รายการใน AI coding agent 7 ตัว รวมถึงชื่อดังอย่าง Claude Code, Codex และ Cursor ซึ่ง 4 รายการในนั้นยังถูกจัดระดับรุนแรงสูง นี่ไม่ใช่เรื่องไกลตัวของนักพัฒนา แต่คือคำเตือนว่าเมื่อให้ AI มาจัดการโค้ดในเครื่องเรา ทุกการตั้งค่าระดับ Git ก็กลายเป็นจุดโจมตีได้ทันที
กลไก GitSpawn ทำงานอย่างไร จาก .git/config ถึงการยึดเครื่อง
การโจมตีแบบ GitSpawn เริ่มต้นง่ายกว่าที่คิด นักพัฒนาดาวน์โหลดโค้ดจากอินเทอร์เน็ตหรือแหล่งที่ไม่รู้จักมาในรูปแบบ zip, shared drive หรือ USB ซึ่งรักษาโฟลเดอร์ .git ติดมาด้วย เมื่อแตกไฟล์แล้วเปิดโฟลเดอร์นั้นด้วย AI coding agent ตัว agent จะเริ่มอ่านโค้ด ทำ indexing และเรียก git status หรือ git diff เพื่อดูว่าอยู่บน branch ไหนและไฟล์ไหนถูกแก้ไข
ปัญหาอยู่ที่ค่า core.fsmonitor ในไฟล์ .git/config ค่านี้ควรเป็นคำสั่งช่วยบอก Git ว่าไฟล์ใดเปลี่ยนเพื่อเพิ่มประสิทธิภาพ แต่ผู้โจมตีสามารถตั้งให้เป็นคำสั่งหรือสคริปต์อะไรก็ได้ เช่น calc.exe บนระบบ Windows หรือสคริปต์อันตราบน Unix เมื่อ AI agent เรียก git status คำสั่งอันตรายนั้นจะรันด้วยสิทธิ์ของผู้ใช้ทันที และอยู่นอก sandbox ของ agent โดยไม่มีหน้าต่างขออนุญาตหรือ Workspace Trust มากั้น ในบางกรณี payload ยังถูกรันก่อนที่ผู้ใช้จะกดยอมรับหน้าต่าง Trust เสียด้วยซ้ำ
ใครบ้างที่ได้รับผลกระทบ และบทเรียนเรื่อง AI agent hijacking
รายงานของ Manifold ชี้ว่าปัญหา Git vulnerability exploitation นี้ไม่ได้จำกัดอยู่ที่เครื่องมือรายเดียว แต่กระทบ AI coding agent หลายตัว Goose, Codex CLI และ Codex Desktop ต่างเคยมีเวอร์ชันที่รับคำสั่งจาก core.fsmonitor โดยตรง Claude Code เองก็ถูกยืนยันว่ามีช่องโหว่บนเวอร์ชัน 2.1.193 ผ่าน core.fsmonitor และยังมีช่องทางโจมตีชุดที่สองผ่านคำสั่ง claude ultrareview ที่ยังเปิดช่องในเวอร์ชัน 2.1.252 ขณะที่ Hermes Agent, Qwen Code และ Grok Build ก็ยังรอแพตช์แก้ไข
OpenAI ถึงขั้นออก CVE สามรายการสำหรับ Codex โดยระบุชัดว่า helper ที่ใช้รันคำสั่ง Git ทำงานอยู่นอก command sandbox ของ Codex ทำให้โค้ดฝั่งผู้โจมตีสามารถอ่าน แก้ไข หรือแม้แต่ลบไฟล์ของผู้ใช้ได้ จุดน่าสนใจคือช่องโหว่นี้สะท้อนรูปแบบเดิมที่เคยเกิดใน IDE ใหญ่อย่าง Visual Studio Code และ JetBrains IDE ที่เคยถูก bypass กลไก Workspace Trust มาก่อน แสดงให้เห็นว่าปัญหา AI agent hijacking วันนี้คือการรีรันบทเรียนความปลอดภัยแบบเดิมในยุคที่มี AI นั่งอยู่กลางเครื่องมือพัฒนา
แนวทางรับมือสำหรับนักพัฒนา: จากวินัยพื้นฐานถึงการควบคุมสิทธิ์รันคำสั่ง
ในมุมของนักพัฒนา การป้องกัน malicious code injection ผ่าน GitSpawn ไม่ควรฝากชีวิตไว้กับแพตช์ของผู้ผลิตเพียงอย่างเดียว ขั้นแรกคือวินัยพื้นฐาน อย่าดาวน์โหลดโค้ดจากแหล่งที่ไม่น่าเชื่อถือหรือไม่รู้ที่มา หากจำเป็นต้องใช้โค้ดจากบุคคลอื่น ให้เลือก clone จาก public repository ที่มีชื่อเสียงบนแพลตฟอร์มมาตรฐานแทนการรับเป็น zip หรือ archive ที่แถมโฟลเดอร์ .git มาด้วย
ทุกครั้งที่ได้โฟลเดอร์ที่มี .git ให้เปิดไฟล์ .git/config ตรวจดูโดยเฉพาะบรรทัด core.fsmonitor หากไม่มั่นใจควรปิดการทำงานก่อนรัน AI agent เช่น ใช้คำสั่ง git -c core.fsmonitor=false status เพื่อหลีกเลี่ยงการเรียกคำสั่งที่ไม่รู้จัก นอกจากนั้นทีมพัฒนาควรวางนโยบาย access control ภายในเครื่องพัฒนา แยกบัญชีสำหรับงานเสี่ยง จำกัดสิทธิ์ของเครื่องมือ command-line agent และตั้งกฎว่า AI agent ห้ามรันคำสั่งที่แก้ไขระบบไฟล์นอก workspace ที่กำหนด แม้จะสะดวกน้อยลงบ้าง แต่แลกกับการไม่เปิดบ้านทั้งหลังให้ใครก็ได้สั่งงานจากไฟล์ .git
