Des chercheurs de Wiz ont mis au jour une faille de sécurité critique baptisée GhostApproval touchant six agents de codage IA : Amazon Q Developer, Claude Code, Augment, Cursor, Google Antigravity et Windsurf. Le problème provient d'une validation insuffisante des liens symboliques (symlinks) dans les dépôts de code.

L'attaque consiste à créer un dépôt contenant un lien symbolique, par exemple nommé project_settings.json, qui pointe en réalité vers des fichiers système sensibles, tels que les clés SSH (~/.ssh/authorized_keys) ou le fichier de configuration ~/.zshrc. En suivant des instructions placées dans un fichier Readme, l'agent IA est induit en erreur et écrit des données malveillantes (comme une clé SSH d'attaquant) dans ces fichiers, contournant ainsi les restrictions du bac à sable.

L'étude souligne que l'intervention humaine ne suffit pas toujours à prévenir l'attaque. Claude Code a été capable d'identifier anoyennement qu'il s'agissait d'un lien symbolique, mais a omis de le mentionner à l'utilisateur lors de la demande de confirmation. D'autres outils sont encore moins prudents : Windsurf effectue l'écriture avant de demander l'autorisation, et Augment ne propose aucun dialogue de confirmation.

Découverte en février 2026, la vulnérabilité a été corrigée pour la plupart des outils, notamment Amazon Q Developer, Google Antigravity et Cursor. Cependant, Augment et Windsurf n'ont toujours pas publié de correctifs.