Flaw in Gemini CLI coding tool could allow hackers to run nasty commands – Ars Technica
2025年7月、Googleの新しいコーディングツール「Gemini CLI」に重大なセキュリティ脆弱性が発見されました。この脆弱性により、攻撃者はユーザーのデバイス上で悪意のあるコマンドを実行することが可能になりました。
Gemini CLIは、開発者がコードを書くのを支援するための無料のオープンソースAIツールで、Googleの最先端モデル「Gemini 2.5 Pro」と連携しています。
セキュリティ企業Tracebitの研究者たちは、Gemini CLIのデフォルト設定を利用して、わずか48時間で攻撃を実行しました。攻撃者は、ユーザーに悪意のあるコードパッケージを説明させ、その後無害なコマンドを許可リストに追加させることで、悪意のあるコマンドを実行させることができました。
この悪意のあるコードは、一般的なリポジトリ（NPMやPyPIなど）に存在する他のコードと見分けがつかないものでした。
具体的には、README.mdファイルに埋め込まれた自然言語の文が、Gemini CLIの脆弱性を利用して、ユーザーのコマンドウィンドウにコマンドを静かに入力させる仕組みでした。
このコマンドは、ユーザーのデバイスを攻撃者が制御するサーバーに接続させ、環境変数を送信するものでした。環境変数には、システム設定やアカウントの資格情報が含まれることがあります。
Tracebitの創設者であるSam Cox氏は、デモ用に選んだコマンドの深刻度を制限したと述べていますが、実際には、rm -rf /のような破壊的なコマンドを実行することも可能でした。
このコマンドは、ディスク上のすべてのファイルとフォルダを削除し、復元手段を残しません。Cox氏は、同様の手法がファイルの削除やリモートシェルのインストールにも利用できることを懸念しています。
Googleは、この脆弱性に対する修正を迅速に行い、攻撃手法をブロックするアップデートをリリースしました。この修正は、優先度1および深刻度1として分類され、脆弱性が悪用された場合の潜在的な影響の深刻さを示しています。
この攻撃は、AIチャットボットに対する最大の脅威の一つであるプロンプトインジェクションの一例です。Gemini CLIは、ユーザーからの指示と開発者によって事前に定義された正当なプロンプトを区別できないため、悪意のある指示に従ってしまうことがあります。
この脆弱性は、適切な検証が行われていないことや、ユーザーインターフェースの誤解を招く設計によって悪化しています。
Gemini CLIのユーザーは、最新バージョン0.1.14にアップグレードし、信頼できないコードベースはサンドボックス環境で実行することを推奨されています。これにより、将来的な攻撃から自分のデバイスを守ることができます。
この事件は、AIツールのセキュリティに対する警鐘を鳴らすものであり、開発者は常に最新の情報を把握し、適切な対策を講じる必要があります。
