ForkLog AI

🚫 Сервис кибербезопасности Tracebit обнаружил критическую уязвимость в Google Gemini CLI. Она позволяет незаметно выполнять вредоносные команды, если пользователь просматривает подозрительный код с помощью нейросети.

Сотрудник Tracebit Сэм Кокс рассказал, что «из-за токсичного сочетания некорректной валидации, внедрения команд через промпт и вводящего в заблуждение интерфейса, просмотр кода стабильно приводит к тихому выполнению вредоносных команд».

Спрятав «инъекцию» промпта в файл README. md, который также содержал полный текст лицензии GNU Public Licence и прилагался к безопасному скрипту на Python, эксперт смог заставить Gemini передать учетные данные с помощью команд env и curl на удаленный сервер, ожидающий подключения.

Изначально Google присвоил обнаруженной Коксом уязвимости приоритет два и четвертый уровень серьезности в рамках программы Bug Hunters после получения отчета 27 июня.

Около трех недель спустя корпорация переклассифицировала уязвимость как самую серьезную и требующую срочного и немедленного внимания, поскольку она может привести к значительной утечке данных, несанкционированному доступу или выполнению произвольного кода.

Новости | AI | YouTube

Please open Telegram to view this post

VIEW IN TELEGRAM

🔥9🤣5❤2🌚1

www.tgoop.com/forklogAI/6186

3.02K viewsJul 30 at 10:51

🚫 Сервис кибербезопасности Tracebit обнаружил критическую уязвимость в Google Gemini CLI. Она позволяет незаметно выполнять вредоносные команды, если пользователь просматривает подозрительный код с помощью нейросети.

Сотрудник Tracebit Сэм Кокс рассказал, что «из-за токсичного сочетания некорректной валидации, внедрения команд через промпт и вводящего в заблуждение интерфейса, просмотр кода стабильно приводит к тихому выполнению вредоносных команд».

Спрятав «инъекцию» промпта в файл README. md, который также содержал полный текст лицензии GNU Public Licence и прилагался к безопасному скрипту на Python, эксперт смог заставить Gemini передать учетные данные с помощью команд env и curl на удаленный сервер, ожидающий подключения.

Изначально Google присвоил обнаруженной Коксом уязвимости приоритет два и четвертый уровень серьезности в рамках программы Bug Hunters после получения отчета 27 июня.

Около трех недель спустя корпорация переклассифицировала уязвимость как самую серьезную и требующую срочного и немедленного внимания, поскольку она может привести к значительной утечке данных, несанкционированному доступу или выполнению произвольного кода.

Новости | AI | YouTube