GuardFall: Desítky let staré triky Bashi ohrožují AI agenty – 10 z 11 testovaných selhalo

Doporučená ochranná opatření

Vzhledem k tomu, že problém není jen v seznamu zakázaných klíčových slov, ale v nesouladu mezi tím, co vidí bezpečnostní kontrola a co nakonec provede shell, je vhodný vrstevnatý přístup :

1. Nespoléhejte se pouze na textové bezpečnostní filtry. Bezpečnostní kontroly, které hledají očividně nebezpečné řetězce, lze obejít, protože Bash interpretuje zatemněnou syntaxi jinak než kontrola .
2. Hranici shellu považujte za vysoce rizikovou. Příkazy sestavené z výstupu modelu nebo obsahu repozitáře by měly být před odesláním do Bashe zkontrolovány, escapovány nebo pokud možno zcela nahrazeny .
3. Omezte dosah případného útoku. Spouštějte AI kódovací agenty s co nejnižšími oprávněními, zejména pokud pracují s klonovanými repozitáři nebo externím obsahem.
4. Aplikujte záplaty od dodavatelů, jakmile jsou k dispozici. Některé související zranitelnosti AI kódovacích agentů již byly opraveny, včetně záplaty od Googlu pro kritický problém v Gemini CLI (CVSS 10.0) evidovaný jako GHSA-wpqr-6v78-jr5g .
5. Ručně kontrolujte příkazy navržené agentem před jejich spuštěním v citlivých prostředích.
6. S externím obsahem (README, kódové soubory) zacházejte jako s nedůvěryhodným, protože útoky typu GuardFall se spoléhají na to, že agent zpracuje škodlivý obsah .

Širší oborové souvislosti – červen 2026

Hlášení z června 2026 popisovala několik koordinovaných zveřejnění zranitelností, která naznačují, že mnoho AI kódovacích agentů sdílí podobné strukturální slabiny týkající se důvěry, spouštění příkazů a zpracování obsahu pracovního prostoru .

• TrustFall – Otevření škodlivého repozitáře v nástrojích jako Claude Code, Cursor, Gemini CLI nebo GitHub Copilot a přijetí výzvy k důvěryhodnosti údajně stačilo ke spuštění kódu útočníka, který se mohl dostat k citlivým lokálním datům, jako jsou SSH klíče, cloudová pověření a historie shellu .
• SymJack – Třída RCE založená na únosu symbolických odkazů (symlink-hijack) byla popsána jako tišší útočný vzor postihující několik agentů včetně Claude Code, Cursor, Antigravity, Copilot CLI a Grok Build .
• GuardFall – Výzkum Adversa AI ukázal, že chování parseru Bashe lze využít k obcházení bezpečnostních kontrol příkazů u AI kódovacích agentů .
• Gemini CLI CVSS 10.0 – Google opravil kritickou zranitelnost v Gemini CLI (GHSA-wpqr-6v78-jr5g), kdy bezhlavé (headless) spouštění v CI/CD automaticky důvěřovalo souborům v pracovním prostoru kontrolovaným útočníkem a umožnilo spuštění libovolných příkazů na CI/CD sestavovacích strojích .

Klíčové strukturální problémy, na které výzkumníci upozornili:

• Prompt injection zůstává ústředním rizikem pro agentické kódovací nástroje – NIST označil prompt injection za „největší bezpečnostní chybu generativní AI“, zatímco OWASP jej řadí na první místo v žebříčku zranitelností LLM aplikací .
• Samotné výzvy k důvěryhodnosti nestačí – útoky typu TrustFall popisují spuštění kódu útočníka poté, co uživatel přijal výzvu k důvěryhodnosti repozitáře .
• Textové bezpečnostní kontroly příkazů nejsou úplnou bezpečnostní hranicí – útoky typu GuardFall se spoléhají na to, že Bash interpretuje zatemněné řetězce příkazů jinak než bezpečnostní vrstva .
• Reakce dodavatelů byla nerovnoměrná – podle hlášení Google a Cursor odmítly opravit problémy typu TrustFall/SymJack, zatímco xAI a GitHub Copilot CLI na výzkumníky nereagovaly .