Pillar Security publiserte 7. mai detaljene rundt en kritisk feil i Gemini CLI, Googles offisielle terminal-agent for Gemini-modellene. Feilen fikk CVSS 4.0-score 10 av 10, men har foreløpig ikke fått tildelt CVE-ID. I --yolo-modus, der agenten godkjenner alle verktøykall automatisk, ignorerte den sin egen tillatelsesliste fullstendig.
Angrepet var enkelt å sette opp: en angriper opprettet en offentlig issue på et Google GitHub-repo og gjemte instruksjoner i teksten. Når Gemini CLI ble satt til å triagere innkommende issues, fulgte den de skjulte instruksjonene blindt. Agenten hentet hemmeligheter fra bygg-miljøet og sendte dem til en angriper-kontrollert server.
«Fra disse credentials piverer angriperen til en token med full skrivetilgang på repoet. Full supply-chain-kompromittering. Angriperen kan pushe vilkårlig kode til main-branchen i gemini-cli-repoet, som så går ut til hver eneste downstream-bruker.» — Pillar Security i sin tekniske rapport
Google fikset feilen 24. april i Gemini CLI 0.39.1, som nå evaluerer tillatelseslister også når --yolo er på. Samme oppdatering tettet en sekundær feil i headless-modus, der CLI-en automatisk stolte på arbeidsmappa og lastet hvilken som helst konfig eller miljøvariabel den fant der. Det betyr at sårbare CI-workflows kunne ha lekket credentials og kildekode bredere enn issue-vektoren alene.
Det skarpeste i Pillars funn er ikke selve feilen, men spredningen: minst åtte andre Google-repoer brukte samme workflow-mal som gemini-cli, noe som tyder på at problemet stammer fra en kopiert oppskrift snarere enn isolert tabbe. Det føyer seg inn i en serie agent-relaterte prompt-injeksjonshull. Pillar viser selv til parallelle saker for Claude Code, GitHub Copilot Agents og Anthropics egen Mythos-reveal.
Hva bør du gjøre?
- Oppgrader umiddelbart: Sjekk at du kjører Gemini CLI 0.39.1 eller nyere. Eldre versjoner i --yolo bør betraktes som usikre mot ukjent input.
- Ikke kjør --yolo mot offentlig issue-trafikk: Selv på fikset versjon bør automatisert triagering av innkommende GitHub-issues ha tillatelseslister, sandbox-kjøring og minimal repo-skrivetilgang.
- Roter bygg-credentials: Hvis du har kjørt run-gemini-cli GitHub Action før 24. april, anta at hemmeligheter i workflow-miljøet kan være eksponert. Roter API-nøkler og GitHub-tokens.
- Audit egne workflow-maler: Pillar fant samme mal i åtte sidestilte repoer. Søk etter kopierte run-gemini-cli-konfigurasjoner i dine egne organisasjoner og oppgrader dem samlet.