何が起きたか
Aider 0.86.2まで、リポジトリから.aider.conf.ymlを信頼プロンプトなしで自動ロードします。notifications-commandやeditorなどの値は、shell=Trueで呼び出されるサブプロセスに到達するため、リポジトリにコミットされた設定ファイルはユーザーの権限でコマンド実行を引き起こします（CVSS 7.8、CWE-78）。公開日2026-10-23。
なぜ重要か
これはまさに「エージェント設定=実行可能な指示」問題です。AIコーディングエージェントがプロジェクト提供の設定を信頼されたものとして扱います。リポジトリに影響を与えられる攻撃者（フォークPR、侵害されたリポジトリ、依存関係）が、開発者のマシンでコードを実行でき、エージェントが読み取れる資格情報を漏洩させる可能性があります。
攻撃経路
リポジトリにコミットされた悪意のある.aider.conf.ymlが、信頼プロンプトなしで自動ロードされます。攻撃者は、モデル応答後または/editor使用後にshell=Trueでサブプロセス経由で実行されるnotifications-commandまたはeditor値を設定し、被害者の権限でコマンドを実行します。開発者が攻撃者提供のリポジトリでAiderを実行するとトリガーされます。
影響を受けるシステム
Aider (aider-chat) 0.86.2まで
緩和策
Aiderを修正版（修正は0.86.2以降に出荷）にアップグレードしてください。プロジェクトホストの.aider.conf.ymlおよび同様のエージェント設定ファイルを実行可能な信頼されていない入力として扱い、自動ロード前に明示的なオプトインを要求し、notifications-command/editor設定を監査してください。VulnCheck経由のアドバイザリ。