GuardFall: уязвимость в ИИ-агентах кодинга, использующая многолетние трюки оболочки Bash

Вот полный, проверенный по источникам разбор.

---

Что такое GuardFall?

GuardFall — это класс уязвимостей, раскрытый компанией Adversa AI 30 июня 2026 года, который эксплуатирует многолетние трюки оболочки Bash — включая удаление кавычек и пробелы $IFS (Internal Field Separator) — для обхода проверок безопасности, которые ИИ-агенты кодинга выполняют перед запуском команд оболочки . Поскольку эти агенты могут передавать сгенерированные LLM команды оболочки через проверку безопасности перед тем, как реальная оболочка их интерпретирует, атакующий может разместить запутанные команды в контенте, который обрабатывает агент, например, в отравленном README. В результате слой безопасности считает команду безвредной, а Bash выполняет нечто опасное .

Сообщается, что GuardFall затронул 10 из 11 популярных open-source ИИ-агентов кодинга, прошедших тестирование .

---

Затронутые инструменты

Доступные отчеты называют следующие open-source агенты, подверженные GuardFall :

Инструмент	Примечания
opencode	Назван как пострадавший
Roo-Code	Назван как пострадавший
Hermes	Назван как пострадавший
Другие протестированные open-source агенты	Сообщается, что GuardFall затронул 10 из 11 агентов в целом
Один протестированный агент	Не сообщается как затронутый в результате 10 из 11

---

Рекомендуемые меры защиты

Поскольку описанная в отчетах проблема — это не просто плохой список ключевых слов, а несоответствие между тем, что видит проверка безопасности, и тем, что в конечном итоге выполняет оболочка , уместен многоуровневый подход:

1. Не полагайтесь только на строковые фильтры безопасности. Проверки, которые ищут очевидные опасные строки, можно обойти, когда Bash интерпретирует запутанный синтаксис иначе, чем средство проверки .
2. Относитесь к границе оболочки как к зоне высокого риска. Команды, собранные из выходных данных модели или содержимого репозитория, следует проверять, экранировать или, по возможности, избегать их передачи в Bash .
3. Уменьшите радиус поражения. Запускайте ИИ-агенты кодинга с минимально необходимыми привилегиями, особенно когда они работают с клонированными репозиториями или другим внешним контентом.
4. Применяйте патчи вендоров, когда они доступны. Связанные уязвимости ИИ-агентов кодинга в некоторых случаях уже исправлены, включая исправление Google для критической уязвимости Gemini CLI, отслеживаемой как GHSA-wpqr-6v78-jr5g .
5. Проверяйте предложенные агентом команды вручную перед выполнением в чувствительных средах.
6. Относитесь к внешнему контенту, такому как README и файлы кода, как к ненадежному, поскольку атаки в стиле GuardFall полагаются на вредоносный контент, обрабатываемый агентом .

---

Более широкие отраслевые проблемы — июнь 2026

Отчеты за июнь 2026 года описывают несколько скоординированных раскрытий уязвимостей, которые предполагают, что многие ИИ-агенты кодинга имеют схожие структурные слабые места, касающиеся доверия, выполнения команд и содержимого рабочего пространства .

• TrustFall — открытие вредоносного репозитория в таких инструментах, как Claude Code, Cursor, Gemini CLI или GitHub Copilot и принятие запроса доверия, как сообщалось, было достаточным для выполнения кода атакующего, который мог получить доступ к конфиденциальным локальным данным, таким как SSH-ключи, учетные данные облачных сервисов и история команд оболочки .
• SymJack — класс RCE через символьную ссылку (symlink-hijack), описанный как более тихая атака, затрагивающая несколько агентов, включая Claude Code, Cursor, Antigravity, Copilot CLI и Grok Build .
• GuardFall — исследование Adversa AI показало, что поведение синтаксического анализатора Bash может быть использовано для обхода проверок безопасности команд ИИ-агентов кодинга .
• Gemini CLI CVSS 10.0 — Google исправил критическую уязвимость (CVSS 10.0) в Gemini CLI, отслеживаемую как GHSA-wpqr-6v78-jr5g, где безголовое выполнение в CI/CD автоматически доверяло файлам рабочего пространства, контролируемым атакующим, что позволяло выполнять произвольные команды на сборочных узлах CI/CD .

Ключевые структурные проблемы, на которые указали исследователи:

• Инъекция промптов остается центральным риском для агентных инструментов кодинга, и NIST охарактеризовал инъекцию промптов как «величайшую уязвимость генеративного ИИ», в то время как OWASP ставит ее на первое место в своем рейтинге уязвимостей LLM-приложений Top 10 .
• Запросы доверия сами по себе недостаточны, поскольку атаки в стиле TrustFall описывают выполнение кода атакующего после того, как пользователь принял запрос доверия репозиторию .
• Текстовые проверки безопасности команд не являются полной границей безопасности, поскольку атаки в стиле GuardFall полагаются на то, что Bash интерпретирует запутанные строки команд иначе, чем слой безопасности .
• Реакция вендоров была неравномерной: сообщается, что Google и Cursor отказались исправлять проблемы TrustFall/SymJack, в то время как xAI и GitHub Copilot CLI не ответили исследователям .