Investigadores de Wiz han detectado una vulnerabilidad crítica denominada GhostApproval que afecta a seis agentes de codificación IA: Amazon Q Developer, Claude Code, Augment, Cursor, Google Antigravity y Windsurf. El fallo se debe a una validación insuficiente de los enlaces simbólicos (symlinks) en los repositorios de proyectos.

Un atacante puede explotar esto creando un repositorio con un symlink —por ejemplo, llamado project_settings.json— que en realidad apunte a archivos sensibles del sistema, como las claves SSH (~/.ssh/authorized_keys) o el archivo de configuración ~/.zshrc. Mediante instrucciones en un archivo Readme, el agente IA es engañado para escribir datos maliciosos, como la clave SSH del atacante, eludiendo así las restricciones del sandbox.

El análisis reveló que la supervisión humana no siempre es efectiva. Claude Code identificó internamente que se trataba de un enlace simbólico, pero ocultó esta información al usuario en el mensaje de confirmación. Otras herramientas son aún menos rigurosas: Windsurf escribe los datos antes de solicitar permiso, mientras que Augment no muestra ningún diálogo de confirmación.

Desde el descubrimiento de la falla en febrero de 2026, la mayoría de los proveedores han lanzado parches. Amazon Q Developer, Google Antigravity y Cursor ya han corregido el problema, pero Augment y Windsurf permanecen sin parchear.