El clone no trae el .git/config. El ZIP sí
Cuatro CVE publicados en agosto y septiembre de 2026 describen la misma secuencia: abres una carpeta con un agente de IA, el agente llama a git para enterarse de dónde está, y la configuración local de esa carpeta ejecuta un programa con tus credenciales antes de que nadie te pregunte si confías en ella. Dentro: qué dice la documentación de git sobre core.fsmonitor, por qué un clone normal no sirve como vía de entrega, por qué la comprobación de propiedad que git sí tiene queda desarmada por el gesto más normal del mundo, y el truco que esconde la clave de tu propio grep.
Microsoft 365
ES 
CAT 
EN