陌生仓库先 git clone，不要直接打开带 .git 的压缩包
代理常在沙箱外跑 git status。仓库自己的 .git/config 里若写了 core.fsmonitor 一类键，可能在批准前提权执行。
2026 年 9 月披露的一类问题：编码代理为了采集仓库上下文会调 Git，Git 会执行仓库配置里点名的命令。这发生在 agent 工具层之外，批准旋钮看不见。
Codex 已被报告并打过补丁。你仍应：
- 外来代码用
git clone，不要解压别人给的、带着.git/的 zip / U 盘目录 - 打开前看
git config --get core.fsmonitor，以及 hooksPath、credential.helper、pager、diff 驱动 - 保持 CLI 为当前版本；补丁是进程边界上的，不是再写一条 AGENTS.md 能挡住的
普通 git clone 不会把源仓的 local config 带过来。没有 .git 的源码包也不走这条路径。