GuardFall rapporteres å påvirke 10 av 11 populære åpne AI-kodingsagenter som ble testet .

Berørte verktøy

Tilgjengelig rapportering navngir følgende åpne agenter som berørt :

Anbefalte tiltak

En lagdelt tilnærming er passende, siden problemet ikke bare er en dårlig søkeordliste, men et misforhold mellom hva sikkerhetssjekkeren ser og hva skallet til slutt utfører :

1. Stol ikke bare på mønsterbaserte sikkerhetsfiltre. Sikkerhetssjekker som ser etter åpenbart farlige strenger kan omgås når Bash tolker obfuskert syntaks annerledes enn sjekkeren .
2. Behandle skallgrensen som høyrisiko. Kommandoer satt sammen fra modellutdata eller depotinnhold bør gjennomgås, escapes eller unngås før de når Bash .
3. Reduser slagradius. Kjør AI-kodingsagenter med minst mulig rettigheter for oppgaven, spesielt når de jobber med klonede depoter eller eksternt innhold.
4. Bruk oppdateringer fra leverandøren når tilgjengelig. Relaterte sårbarheter har blitt lappet i noen tilfeller, inkludert Googles fiks for en maksimal-alvorlighetsgrad Gemini CLI-feil sporet som GHSA-wpqr-6v78-jr5g .
5. Gjennomgå agentforeslåtte kommandoer manuelt før kjøring i sensitive miljøer.
6. Behandle eksternt innhold som README-filer og kodefiler som upålitelige, fordi GuardFall-lignende angrep er avhengig av ondsinnet innhold som agenten henter .

Bredere bransjebekymringer – juni 2026

Rapportering fra juni 2026 beskrev flere koordinerte sårbarhetsavsløringer som antyder at mange AI-kodingsagenter deler lignende strukturelle svakheter knyttet til tillit, kommandoutførelse og arbeidsområdeinnhold .

• TrustFall – Å åpne et ondsinnet depot i verktøy som Claude Code, Cursor, Gemini CLI eller GitHub Copilot og akseptere tillatelsesmeldingen var nok til å kjøre angriperkode som kunne nå sensitiv lokal data som SSH-nøkler, skylegitimasjon og skallhistorikk .
• SymJack – En symlink-kapring RCE-klasse ble rapportert som et stillere angrepsmønster som påvirker flere agenter, inkludert Claude Code, Cursor, Antigravity, Copilot CLI og Grok Build .
• GuardFall – Adversa AIs GuardFall-forskning viste at Bash-tolkningsatferd kunne brukes til å omgå AI-kodingsagenters kommandosikkerhetssjekker .
• Gemini CLI CVSS 10.0 – Google lappet en maksimal-alvorlighetsgrad sårbarhet i Gemini CLI, sporet som GHSA-wpqr-6v78-jr5g, der hodeløs CI/CD-kjøring automatisk stolte på angriperkontrollerte arbeidsområdefiler og tillot vilkårlig kommandoutførelse på CI/CD-byggeservere .

Sentrale strukturelle bekymringer forskere fremhevet:

• Prompt-injisering er fortsatt en sentral risiko for agentiske kodingsverktøy, og NIST har karakterisert prompt-injisering som «generativ AIs største sikkerhetsfeil», mens OWASP rangerer det som den øverste sårbarheten i sin LLM Applications Top 10 .
• Tillatelsesmeldinger alene er ikke nok, fordi TrustFall-lignende rapportering beskrev angriperkodekjøring etter at en bruker aksepterte en depot-tillatelsesmelding .
• Tekstbaserte kommandosikkerhetssjekker er ikke en komplett sikkerhetsgrense, fordi GuardFall-lignende angrep er avhengig av at Bash tolker obfuserte kommandostrenger annerledes enn sikkerhetslaget .
• Leverandørsvar var ujevnt, med rapportering som sier at Google og Cursor avslo å lappe TrustFall/SymJack-lignende problemer, mens xAI og GitHub Copilot CLI ikke svarte forskere .

GuardFall rapporteres å påvirke 10 av 11 populære åpne AI-kodingsagenter som ble testet .

Berørte verktøy

Tilgjengelig rapportering navngir følgende åpne agenter som berørt :

Anbefalte tiltak

En lagdelt tilnærming er passende, siden problemet ikke bare er en dårlig søkeordliste, men et misforhold mellom hva sikkerhetssjekkeren ser og hva skallet til slutt utfører :

1. Stol ikke bare på mønsterbaserte sikkerhetsfiltre. Sikkerhetssjekker som ser etter åpenbart farlige strenger kan omgås når Bash tolker obfuskert syntaks annerledes enn sjekkeren .
2. Behandle skallgrensen som høyrisiko. Kommandoer satt sammen fra modellutdata eller depotinnhold bør gjennomgås, escapes eller unngås før de når Bash .
3. Reduser slagradius. Kjør AI-kodingsagenter med minst mulig rettigheter for oppgaven, spesielt når de jobber med klonede depoter eller eksternt innhold.
4. Bruk oppdateringer fra leverandøren når tilgjengelig. Relaterte sårbarheter har blitt lappet i noen tilfeller, inkludert Googles fiks for en maksimal-alvorlighetsgrad Gemini CLI-feil sporet som GHSA-wpqr-6v78-jr5g .
5. Gjennomgå agentforeslåtte kommandoer manuelt før kjøring i sensitive miljøer.
6. Behandle eksternt innhold som README-filer og kodefiler som upålitelige, fordi GuardFall-lignende angrep er avhengig av ondsinnet innhold som agenten henter .

Bredere bransjebekymringer – juni 2026

Rapportering fra juni 2026 beskrev flere koordinerte sårbarhetsavsløringer som antyder at mange AI-kodingsagenter deler lignende strukturelle svakheter knyttet til tillit, kommandoutførelse og arbeidsområdeinnhold .

• TrustFall – Å åpne et ondsinnet depot i verktøy som Claude Code, Cursor, Gemini CLI eller GitHub Copilot og akseptere tillatelsesmeldingen var nok til å kjøre angriperkode som kunne nå sensitiv lokal data som SSH-nøkler, skylegitimasjon og skallhistorikk .
• SymJack – En symlink-kapring RCE-klasse ble rapportert som et stillere angrepsmønster som påvirker flere agenter, inkludert Claude Code, Cursor, Antigravity, Copilot CLI og Grok Build .
• GuardFall – Adversa AIs GuardFall-forskning viste at Bash-tolkningsatferd kunne brukes til å omgå AI-kodingsagenters kommandosikkerhetssjekker .
• Gemini CLI CVSS 10.0 – Google lappet en maksimal-alvorlighetsgrad sårbarhet i Gemini CLI, sporet som GHSA-wpqr-6v78-jr5g, der hodeløs CI/CD-kjøring automatisk stolte på angriperkontrollerte arbeidsområdefiler og tillot vilkårlig kommandoutførelse på CI/CD-byggeservere .

Sentrale strukturelle bekymringer forskere fremhevet:

• Prompt-injisering er fortsatt en sentral risiko for agentiske kodingsverktøy, og NIST har karakterisert prompt-injisering som «generativ AIs største sikkerhetsfeil», mens OWASP rangerer det som den øverste sårbarheten i sin LLM Applications Top 10 .
• Tillatelsesmeldinger alene er ikke nok, fordi TrustFall-lignende rapportering beskrev angriperkodekjøring etter at en bruker aksepterte en depot-tillatelsesmelding .
• Tekstbaserte kommandosikkerhetssjekker er ikke en komplett sikkerhetsgrense, fordi GuardFall-lignende angrep er avhengig av at Bash tolker obfuserte kommandostrenger annerledes enn sikkerhetslaget .
• Leverandørsvar var ujevnt, med rapportering som sier at Google og Cursor avslo å lappe TrustFall/SymJack-lignende problemer, mens xAI og GitHub Copilot CLI ikke svarte forskere .