Kelemahan dalam Gemini Cli Ai Coding Assistant memungkinkan eksekusi kode siluman

Kerentanan di Google Gemini CLI memungkinkan penyerang untuk secara diam -diam menjalankan perintah jahat dan mengekspiltrat data dari komputer pengembang menggunakan program yang diizinkan.

Kelemahan itu ditemukan dan dilaporkan ke Google oleh perusahaan keamanan Tracebit pada 27 Juni, dengan raksasa teknologi merilis perbaikan dalam versi 0.1.14, yang tersedia pada 25 Juli.

Gemini Clipertama kali dirilis 25 Juni 2025adalah alat antarmuka baris perintah yang dikembangkan oleh Google yang memungkinkan pengembang untuk berinteraksi langsung dengan Google Gemini AI dari terminal.

Ini dirancang untuk membantu dengan tugas terkait pengkodean dengan memuat file proyek ke dalam “konteks” dan kemudian berinteraksi dengan model bahasa besar (LLM) menggunakan bahasa alami.

Alat ini dapat membuat rekomendasi, menulis kode, dan bahkan menjalankan perintah secara lokal, baik dengan meminta pengguna terlebih dahulu atau dengan menggunakan mekanisme daftar izin.

Peneliti Tracebit, yang menjelajahi alat baru segera setelah dirilis, menemukan bahwa itu dapat ditipu untuk melaksanakan perintah jahat. Jika dikombinasikan dengan kelemahan UX, perintah -perintah ini dapat menyebabkan serangan eksekusi kode yang tidak terdeteksi.

Eksploitasi bekerja dengan mengeksploitasi pemrosesan “file konteks,” secara khusus ‘readme.md’ dan ‘gemini.md,’ yang dibacakan ke dalam promptnya untuk membantu dalam memahami basis kode.

Tracebit menemukan bahwa mungkin untuk menyembunyikan instruksi berbahaya dalam file-file ini untuk melakukan injeksi yang cepat, sementara perintah yang buruk mem-parsing dan mengizinkan penanganan daftar ruang cuti untuk eksekusi kode berbahaya.

Mereka menunjukkan serangan dengan menyiapkan repositori yang berisi skrip python jinak dan file ‘readme.md’ yang diracuni, dan kemudian memicu pemindaian Gemini Cli di atasnya.

Gemini pertama kali diinstruksikan untuk menjalankan perintah jinak (‘grep ^pengaturan readme.md’), dan kemudian menjalankan perintah exfiltration data jahat yang diperlakukan sebagai tindakan tepercaya, tidak mendorong pengguna untuk menyetujuinya.

Perintah yang digunakan dalam contoh Tracebit tampaknya adalah GREP, tetapi setelah titik koma (;), perintah exfiltrasi data terpisah dimulai. Gemini CLI menafsirkan seluruh string sebagai aman untuk mengeksekusi secara otomatis jika pengguna memiliki GREP yang diizinkan.

“Untuk keperluan perbandingan dengan daftar putih, Gemini akan menganggap ini sebagai perintah ‘grep’, dan melaksanakannya tanpa meminta pengguna lagi,” menjelaskan tracebit dalam laporan.

“Pada kenyataannya, ini adalah perintah GREP yang diikuti oleh perintah untuk secara diam -diam mengeluarkan semua variabel lingkungan pengguna (mungkin berisi rahasia) ke server jarak jauh.”

“Perintah jahat bisa jadi apa saja (menginstal shell jarak jauh, menghapus file, dll).”

Selain itu, output Gemini dapat dimanipulasi secara visual dengan spasi putih untuk menyembunyikan perintah jahat dari pengguna, jadi mereka tidak mengetahui eksekusi.

Tracebit membuat video berikut untuk menunjukkan eksploitasi POC dari cacat ini:

Meskipun serangan itu datang dengan beberapa prasyarat yang kuat, seperti mengasumsikan pengguna memiliki perintah spesifik yang diizinkan, penyerang yang persisten dapat mencapai hasil yang diinginkan dalam banyak kasus.

Ini adalah contoh lain dari bahaya asisten AI, yang dapat ditipu untuk melakukan Eksfiltrasi data diam bahkan ketika diperintahkan untuk melakukan tindakan yang tampaknya tidak berbahaya.

Pengguna Gemini CLI disarankan untuk meningkatkan ke Versi 0.1.14 (terbaru). Juga, hindari menjalankan alat terhadap basis kode yang tidak diketahui atau tidak dipercaya, atau hanya melakukannya di lingkungan kotak pasir.

Tracebit menyatakan bahwa ia menguji metode serangan terhadap alat pengkodean agen lainnya, seperti OpenAI Codex dan Anthropic Claude, tetapi itu tidak dapat dieksploitasi karena mekanisme yang lebih kuat.