GuardFall: Kelemahan Bash Berusia Dekad Ancam 10 Agen Pengekodan AI Sumber Terbuka

Berikut adalah pecahan lengkap yang telah diperiksa fakta.

---

Apakah GuardFall?

GuardFall adalah kelas kelemahan yang didedahkan oleh Adversa AI pada 30 Jun 2026, yang mengeksploitasi helah shell Bash yang telah wujud selama beberapa dekad — termasuk quote removal dan $IFS (Internal Field Separator) spacing — untuk memintas pemeriksaan keselamatan yang digunakan oleh agen pengekodan AI sebelum melaksanakan arahan shell . Oleh kerana agen-agen ini mungkin menghantar arahan shell yang dijana LLM melalui pemeriksa keselamatan sebelum shell sebenar mentafsirkannya, penyerang boleh meletakkan arahan yang dikaburkan dalam kandungan yang diserap oleh agen, seperti README yang dirosakkan, supaya lapisan keselamatan menganggap arahan itu tidak berbahaya manakala Bash melaksanakan sesuatu yang berbahaya .

GuardFall dilaporkan menjejaskan 10 daripada 11 agen pengekodan AI sumber terbuka yang diuji .

---

Alat yang Terjejas

Pelaporan yang ada menamakan agen sumber terbuka berikut sebagai terjejas oleh GuardFall :

Alat	Nota
opencode	Dinamakan sebagai terjejas
Roo-Code	Dinamakan sebagai terjejas
Hermes	Dinamakan sebagai terjejas
Agen sumber terbuka lain yang diuji	GuardFall dilaporkan menjejaskan 10 daripada 11 agen secara keseluruhan
Satu agen yang diuji	Tidak dilaporkan sebagai terjejas dalam keputusan 10-daripada-11

---

Mitigasi yang Disyorkan

Pendekatan berlapis adalah sesuai, memandangkan isu yang diterangkan dalam pelaporan bukan sekadar senarai kata kunci yang buruk, tetapi ketidakpadanan antara apa yang dilihat oleh pemeriksa keselamatan dan apa yang akhirnya dilaksanakan oleh shell :

1. Jangan harap pada penapis keselamatan corak rentetan semata-mata. Pemeriksaan keselamatan yang mencari rentetan berbahaya yang jelas boleh dipintas apabila Bash mentafsir sintaks yang dikaburkan secara berbeza daripada pemeriksa .
2. Anggap sempadan shell sebagai berisiko tinggi. Arahan yang dipasang daripada output model atau kandungan repositori harus disemak, diloloskan, atau dielakkan jika boleh sebelum ia sampai ke Bash .
3. Kurangkan radius letupan. Jalankan agen pengekodan AI dengan hak istimewa yang paling minimum untuk tugas itu, terutamanya apabila ia beroperasi pada repositori yang diklon atau kandungan luaran yang lain.
4. Gunakan tampalan vendor apabila tersedia. Kelemahan berkaitan agen pengekodan AI telah ditampal dalam beberapa kes, termasuk pembetulan Google untuk isu Gemini CLI berketerukan maksimum yang dikesan sebagai GHSA-wpqr-6v78-jr5g .
5. Semak secara manual arahan yang dicadangkan oleh agen sebelum melaksanakan dalam persekitaran sensitif.
6. Anggap kandungan luaran seperti README dan fail kod sebagai tidak dipercayai, kerana serangan gaya GuardFall bergantung pada kandungan berniat jahat yang diserap oleh agen .

---

Kebimbangan Industri yang Lebih Luas — Jun 2026

Pelaporan Jun 2026 menerangkan beberapa pendedahan kelemahan terkoordinasi yang mencadangkan banyak agen pengekodan AI berkongsi kelemahan struktur yang sama di sekitar kepercayaan, pelaksanaan arahan, dan kandungan ruang kerja .

• TrustFall — Membuka repositori berniat jahat dalam alat seperti Claude Code, Cursor, Gemini CLI, atau GitHub Copilot dan menerima gesaan kepercayaan dilaporkan cukup untuk menjalankan kod penyerang yang boleh mencapai data tempatan sensitif seperti kunci SSH, kelayakan awan, dan sejarah shell .
• SymJack — Kelas RCE rampasan pautan symlink (symlink-hijack) dilaporkan sebagai corak serangan yang lebih senyap yang menjejaskan pelbagai agen, termasuk Claude Code, Cursor, Antigravity, Copilot CLI, dan Grok Build .
• GuardFall — Penyelidikan GuardFall Adversa AI menunjukkan bahawa tingkah laku penghuraian Bash boleh digunakan untuk memintas pemeriksaan keselamatan arahan agen pengekodan AI .
• Gemini CLI CVSS 10.0 — Google menampal kelemahan berketerukan maksimum dalam Gemini CLI, dikesan sebagai GHSA-wpqr-6v78-jr5g, di mana pelaksanaan CI/CD tanpa kepala secara automatik mempercayai fail ruang kerja yang dikawal penyerang dan membenarkan pelaksanaan arahan sewenang-wenangnya pada pelari binaan CI/CD .

Kebimbangan struktur utama yang diserlahkan oleh penyelidik:

• Suntikan prompt (prompt injection) kekal sebagai risiko utama untuk alat pengekodan ejen, dan NIST telah mencirikan suntikan prompt sebagai "kecacatan keselamatan terbesar AI generatif," manakala OWASP meletakkannya sebagai kelemahan teratas dalam Senarai 10 Teratas Aplikasi LLM .
• Gesaan kepercayaan sahaja tidak mencukupi, kerana pelaporan gaya TrustFall menggambarkan pelaksanaan kod penyerang selepas pengguna menerima gesaan kepercayaan repositori .
• Pemeriksaan keselamatan arahan berasaskan teks bukanlah sempadan keselamatan yang lengkap, kerana serangan gaya GuardFall bergantung pada Bash mentafsir rentetan arahan yang dikaburkan secara berbeza daripada lapisan keselamatan .
• Respons vendor tidak sekata, dengan pelaporan menyatakan bahawa Google dan Cursor enggan menampal isu gaya TrustFall/SymJack, manakala xAI dan GitHub Copilot CLI tidak memberikan respons kepada penyelidik .