Fordert eine README den Agenten zum Bearbeiten von project_settings.json auf, kann dieser dem Link folgen und tatsächlich ~/.ssh/authorized_keys oder ~/.zshrc verändern. So lässt sich im ersten Fall ein SSH-Schlüssel einschleusen, im zweiten Fall Code ausführen. Wiz ordnet das Muster als Kombination aus Symlink-Folgen (CWE-61) und irreführender Oberfläche (CWE-451) ein.
Betroffen waren Amazon Q Developer, Claude Code, Augment, Cursor, Google Antigravity und Windsurf. Wiz meldete Amazon Q und Cursor als behoben; bei Antigravity stand eine CVE noch aus, Augment und Windsurf arbeiteten am Fix. Für Claude Code verzeichnete Wiz keinen Fix, weil Anthropic das Symlink-Folgen offenbar nicht als behebbares Problem wertete.