Codex CLI 0.162 让模型能在任务中途自己建 git worktree，工具描述却写着「任务仍留在原来的 checkout」。新树建在 $CODEX_HOME 下，HEAD 是 detached，你的未提交改动不会复制过去，模型跑每条命令都得手动带路径。这篇文章拆开 create_worktree 的异步契约、它对仓库做了什么，以及这个「工作目录不动」的设计到底在保护什么。

安全团队 Manifold 发现一个被多家 AI 编程助手共有的高危漏洞：它们在启动时会在后台调用 git 收集上下文，却不剥离仓库自带的 git 配置，而 core.fsmonitor 等配置项本身就是命令执行点。一个恶意的 .git/config，就能让 Claude Code、Codex、Cursor、Hermes 等 agent 在用户点下信任提示之前，以开发者权限执行任意代码。