O Google corrigiu uma falha de segurança crítica no Gemini CLI que poderia permitir que atacantes executassem código remoto em certos fluxos de trabalho automatizados. A questão afeta o pacote npm @google/gemini-cli e a ação do GitHub google-github-actions/run-gemini-cli, especialmente quando são usadas em ambientes headless como pipelines de CI/CD.
Detalhes técnicos da vulnerabilidade
De acordo com o advisory de segurança, a vulnerabilidade decorre de duas fraquezas relacionadas: tratamento inseguro de confiança de workspace e um bypass de allowlisting de ferramentas sob modo --yolo. Juntas, essas falhas poderiam expor sistemas que processam conteúdo não confiável, como pull requests ou submissões de issues de usuários externos.
O primeiro problema envolve a confiança de pastas no modo headless. Em versões anteriores, o Gemini CLI confiava automaticamente no workspace atual ao executar em ambientes não interativos. Isso significava que a ferramenta poderia carregar arquivos de configuração locais e variáveis de ambiente do diretório .gemini/ sem aprovação explícita. Se um atacante colocasse conteúdo malicioso nesse diretório, o CLI poderia processá-lo e potencialmente executar comandos prejudiciais.
O segundo problema afeta o allowlisting de ferramentas sob modo --yolo. Versões anteriores não aplicavam corretamente restrições de ferramentas finas definidas em ~/.gemini/settings.json quando --yolo estava habilitado. Por exemplo, se um workflow permitisse run_shell_command, a política poderia se tornar muito ampla e permitir comandos perigosos em vez de apenas os aprovados.
Riscos em ambientes de desenvolvimento
Em ambientes que processam prompts não confiáveis ou texto controlado pelo usuário, essa fraqueza poderia ser abusada através de injeção de prompt para acionar a execução de comandos. O advisory diz que o impacto é limitado a implantações do Gemini CLI em modo headless, mas isso ainda inclui muitos workflows do GitHub Actions. O Google alerta que todos os usuários devem revisar como o Gemini CLI é configurado em pipelines de automação, especialmente onde contribuidores externos podem influenciar arquivos, prompts ou configurações de ambiente.
Patch e correção
Versões corrigidas estão agora disponíveis. Os usuários devem atualizar o @google/gemini-cli para a versão mais recente. A ação run-gemini-cli do GitHub Action foi corrigida na versão mais recente. Workflows que fixam versões mais antigas do Gemini CLI devem ser atualizados imediatamente.
O Google também introduziu uma alteração de segurança disruptiva. O modo headless não confiará mais automaticamente em pastas de workspace. Organizações que usam entradas confiáveis devem definir explicitamente GEMINI_TRUST_WORKSPACE: 'true'. Para workflows que processam conteúdo não confiável, o Google recomenda seguir suas orientações de endurecimento e revisar cuidadosamente as ferramentas permitidas e configurações de execução de comandos.
Implicações para segurança de IA
O caso destaca um risco crescente em ferramentas de desenvolvimento impulsionadas por IA: quando automação, manipulação de prompts e acesso ao shell encontram entrada não confiável, pequenas lacunas de política podem rapidamente se tornar caminhos de ataque críticos. A integração de ferramentas de IA em pipelines de CI/CD exige uma revisão rigorosa de permissões e controles de acesso.
Medidas de mitigação recomendadas
As organizações devem revisar imediatamente todos os workflows que utilizam o Gemini CLI. É crucial desabilitar o modo --yolo em ambientes de produção e garantir que a confiança de workspace seja explícita. A auditoria de logs de execução de comandos deve ser implementada para detectar atividades suspeitas.
O que os CISOs devem fazer imediatamente
Os CISOs devem priorizar a atualização do Gemini CLI em todos os ambientes de desenvolvimento. A revisão de políticas de segurança de IA deve incluir a avaliação de ferramentas de CLI e suas integrações com sistemas de automação. A conscientização dos desenvolvedores sobre os riscos de injeção de prompt em ferramentas de IA é essencial.
Perguntas frequentes
Qual a severidade da vulnerabilidade? Crítica, devido à capacidade de execução remota de código em ambientes de automação.
Como atualizar o pacote? Utilize o npm update para garantir a versão mais recente do @google/gemini-cli.