Εκμετάλλευση σε λιγότερο από 48 ώρες
Μόλις δύο ημέρες μετά την κυκλοφορία του Gemini CLI, ερευνητές κυβερνοασφάλειας της εταιρείας Tracebit κατάφεραν να αποδείξουν ότι το εργαλείο μπορεί να παρακαμφθεί και να χρησιμοποιηθεί για τη μυστική αποστολή ευαίσθητων δεδομένων σε διακομιστές ελεγχόμενους από επιτιθέμενους. Το μόνο που απαιτείται από τον χρήστη είναι να ζητήσει από το Gemini CLI να περιγράψει ένα πακέτο κώδικα και να προσθέσει μια “αθώα” εντολή στη λίστα επιτρεπόμενων εντολών.

Τι είναι το Gemini CLI
Πρόκειται για ένα δωρεάν και ανοιχτού κώδικα εργαλείο τεχνητής νοημοσύνης που λειτουργεί στο περιβάλλον του τερματικού και έχει σχεδιαστεί για να βοηθά προγραμματιστές στη συγγραφή και τροποποίηση κώδικα. Ενσωματώνεται με το μοντέλο Gemini 2.5 Pro της Google, το πιο εξελιγμένο μοντέλο της εταιρείας για προγραμματισμό και προσομοιωμένη λογική. Σε αντίθεση με το Gemini Code Assist, το οποίο λειτουργεί σε περιβάλλον επεξεργαστή κειμένου, το CLI εργάζεται αποκλειστικά στο τερματικό.

Η αόρατη απειλή στο README
Το κενό ασφαλείας εκμεταλλεύεται την πρακτική των προγραμματιστών να χρησιμοποιούν README.md αρχεία για την περιγραφή των πακέτων τους. Οι ερευνητές κατάφεραν να κρύψουν μια επίθεση prompt injection σε ένα τέτοιο αρχείο, εκμεταλλευόμενοι την ικανότητα του εργαλείου να διαβάζει και να ερμηνεύει φυσική γλώσσα. Αντίθετα με τους χρήστες, που συχνά αγνοούν το περιεχόμενο των αρχείων README, το Gemini CLI τα διαβάζει αναλυτικά, αυξάνοντας την πιθανότητα να «παρασυρθεί» από κακόβουλες εντολές που είναι γραμμένες με φυσικό τρόπο.

Αλυσίδα εντολών μέσω παράκαμψης whitelist
Η επίθεση βασίζεται στην παράκαμψη της λειτουργίας whitelist του Gemini CLI. Από προεπιλογή, το εργαλείο μπλοκάρει εντολές εκτός αν ο χρήστης τις εγκρίνει ρητά. Οι επιτιθέμενοι έπεισαν το εργαλείο να αποδεχτεί την εντολή grep, μια ακίνδυνη εντολή, και στη συνέχεια πρόσθεσαν επικίνδυνες εντολές όπως env και curl στην ίδια γραμμή μέσω ελληνικών ερωτηματικών (semicolons), εκμεταλλευόμενοι το γεγονός ότι το εργαλείο ελέγχει μόνο την πρώτη εντολή. Έτσι, επιτεύχθηκε αποστολή μεταβλητών περιβάλλοντος του συστήματος σε απομακρυσμένο διακομιστή χωρίς να γίνει αντιληπτό.

Κίνδυνος απώλειας δεδομένων και καταστροφικών ενεργειών
Οι εντολές αυτές επιτρέπουν την κλοπή ευαίσθητων πληροφοριών, όπως ρυθμίσεις συστήματος και διαπιστευτήρια. Επιπλέον, σύμφωνα με τον ιδρυτή της Tracebit, Sam Cox, η τεχνική αυτή μπορεί να χρησιμοποιηθεί για την εκτέλεση ιδιαίτερα καταστροφικών εντολών, όπως το rm -rf /, που μπορεί να διαγράψει όλο το περιεχόμενο ενός δίσκου, ή fork bombs που καταρρέουν τα συστήματα. Όπως σημείωσε, «γι’ αυτόν ακριβώς τον λόγο το βρίσκω τόσο ανησυχητικό».

Άλλες πλατφόρμες παρέμειναν ανεπηρέαστες
Τα εργαλεία τεχνητής νοημοσύνης των εταιρειών Anthropic και OpenAI δεν φαίνεται να επηρεάζονται από την ίδια ευπάθεια, σύμφωνα με τους ερευνητές.

Άμεση αντίδραση της Google
Η Google ταξινόμησε την ευπάθεια ως «Προτεραιότητα 1» και «Σοβαρότητα 1», τη μέγιστη δυνατή αξιολόγηση κινδύνου. Η εταιρεία κυκλοφόρησε ήδη ενημέρωση που διορθώνει το πρόβλημα, εμποδίζοντας την εκτέλεση τέτοιων τεχνικών. Όλοι οι χρήστες του Gemini CLI καλούνται να αναβαθμίσουν άμεσα στην έκδοση 0.1.14 και να αποφεύγουν την εκτέλεση μη αξιόπιστων πακέτων σε μη απομονωμένα περιβάλλοντα.

Συμπεράσματα
Η υπόθεση αυτή υπογραμμίζει τη σημασία της ενίσχυσης των μέτρων ασφαλείας στα εργαλεία τεχνητής νοημοσύνης, ιδίως όταν αυτά λειτουργούν σε περιβάλλοντα που δίνουν άμεση πρόσβαση στο σύστημα. Ο συνδυασμός τεχνητής νοημοσύνης με τη γραμμή εντολών, χωρίς επαρκείς φραγμούς, μπορεί να αποτελέσει επικίνδυνο εργαλείο στα χέρια κακόβουλων χρηστών.