事件经过
Aider至0.86.2自动从仓库加载.aider.conf.yml，无需信任提示。像notifications-command或editor这样的值到达以shell=True调用的子进程，因此仓库提交的配置文件导致以用户权限执行命令（CVSS 7.8，CWE-78）。发布日期2026-10-23。
影响分析
这正是“代理配置=可执行指令”的问题：AI编码代理将项目提供的配置视为可信。这让能影响仓库的攻击者（分叉PR、被入侵的仓库、依赖项）在开发者的机器上运行代码，包括泄露代理可读取的凭证。
攻击途径
提交到仓库的恶意.aider.conf.yml被自动加载，无需信任提示。攻击者设置notifications-command或editor值，这些值在模型回复或使用/editor后通过shell=True的子进程执行，以受害者权限运行命令。当开发者在攻击者提供的仓库中运行Aider时触发。
受影响系统
Aider（aider-chat）至0.86.2
缓解措施
升级Aider到修复版本（修复在0.86.2之后发布）；将项目托管的.aider.conf.yml和类似的代理配置文件视为可执行的不可信输入——在自动加载前要求明确选择加入，并审计notifications-command/editor设置。通过VulnCheck公告。