GuardFall: la vulnerabilità che sfrutta vecchi trucchi Bash per bypassare i filtri di sicurezza degli agenti di coding AI

Mitigazioni raccomandate

È opportuno un approccio a più livelli, poiché il problema descritto non è solo una lista di parole chiave inadeguata, ma un disallineamento tra ciò che il modulo di sicurezza vede e ciò che la shell alla fine esegue :

1. Non affidarsi esclusivamente a filtri di sicurezza basati su pattern di stringa. I controlli che cercano stringhe pericolose possono essere aggirati quando Bash interpreta la sintassi offuscata in modo diverso dal modulo di verifica .
2. Considerare il confine della shell come ad alto rischio. I comandi generati da un modello o da contenuti di repository dovrebbero essere rivisti, escapati o evitati, ove possibile, prima di raggiungere Bash .
3. Ridurre il raggio d'azione. Eseguire gli agenti di coding AI con il minimo privilegio necessario per l'attività, specialmente quando operano su repository clonati o altri contenuti esterni.
4. Applicare le patch dei vendor quando disponibili. Vulnerabilità simili sono state corrette in alcuni casi, inclusa la correzione di Google per un problema di gravità massima in Gemini CLI, tracciato come GHSA-wpqr-6v78-jr5g .
5. Rivedere manualmente i comandi suggeriti dall'agente prima di eseguirli in ambienti sensibili.
6. Trattare i contenuti esterni come README e file di codice come non fidati, poiché gli attacchi di tipo GuardFall si basano su contenuti malevoli che l'agente elabora .

Preoccupazioni più ampie del settore — Giugno 2026

I report di giugno 2026 hanno descritto diverse divulgazioni coordinate di vulnerabilità che suggerivano come molti agenti di coding AI condividano debolezze strutturali simili per quanto riguarda la fiducia, l'esecuzione dei comandi e i contenuti dell'area di lavoro .

• TrustFall — Aprire un repository malevolo in strumenti come Claude Code, Cursor, Gemini CLI o GitHub Copilot e accettare il prompt di fiducia è stato sufficiente per eseguire codice attaccante in grado di accedere a dati sensibili locali come chiavi SSH, credenziali cloud e cronologia della shell .
• SymJack — Una classe di RCE tramite hijacking di symlink è stata descritta come un pattern di attacco più silenzioso che colpisce molteplici agenti, tra cui Claude Code, Cursor, Antigravity, Copilot CLI e Grok Build .
• GuardFall — La ricerca di Adversa AI ha dimostrato che il comportamento di parsing di Bash poteva essere usato per bypassare i controlli di sicurezza dei comandi degli agenti di coding AI .
• Gemini CLI CVSS 10.0 — Google ha corretto una vulnerabilità di gravità massima in Gemini CLI, tracciata come GHSA-wpqr-6v78-jr5g, dove l'esecuzione headless in CI/CD fidava automaticamente dei file dell'area di lavoro controllati dall'attaccante, permettendo l'esecuzione arbitraria di comandi sui runner CI/CD .

Principali preoccupazioni strutturali evidenziate dai ricercatori:

• L'iniezione di prompt rimane un rischio centrale per gli strumenti di coding agentici e il NIST ha definito l'iniezione di prompt come "la più grande falla di sicurezza dell'IA generativa", mentre OWASP la classifica come la prima vulnerabilità nella sua LLM Applications Top 10 .
• I prompt di fiducia non sono sufficienti da soli, poiché i rapporti su TrustFall descrivevano l'esecuzione di codice attaccante dopo che un utente aveva accettato un prompt di fiducia per un repository .
• I controlli di sicurezza dei comandi basati su testo non sono un confine di sicurezza completo, poiché gli attacchi di tipo GuardFall si basano su Bash che interpreta stringhe di comando offuscate in modo diverso dal modulo di sicurezza .
• La risposta dei vendor è stata disomogenea, con rapporti che affermano che Google e Cursor hanno rifiutato di correggere i problemi di tipo TrustFall/SymJack, mentre xAI e GitHub Copilot CLI non hanno risposto ai ricercatori .