GuardFall: старі shell-трюки, які ламають безпеку AI-агентів

Ось повний, фактологічно перевірений огляд.

---

Що таке GuardFall?

GuardFall — це клас вразливостей, розкритий компанією Adversa AI 30 червня 2026 року. Він експлуатує багаторічні Bash-трюки, зокрема видалення лапок та використання $IFS (Internal Field Separator), щоб обійти безпекові перевірки, які AI-агенти виконують перед запуском shell-команд .

Проблема полягає в тому, що AI-агенти часто передають згенеровані LLM команди через безпековий фільтр, перш ніж справжній shell їх виконає. Зловмисник може розмістити обфусковані команди у вмісті, який поглинає агент (наприклад, отруєний README-файл). Безпековий фільтр сприймає команду як безпечну, але Bash виконує щось небезпечне .

GuardFall, за повідомленнями, вражає 10 з 11 популярних open-source AI-агентів кодування, які були протестовані .

---

Постраждалі інструменти

Наявні звіти називають такі open-source агенти як вразливі до GuardFall :

Інструмент	Примітки
opencode	Названий як постраждалий
Roo-Code	Названий як постраждалий
Hermes	Названий як постраждалий
Інші протестовані open-source агенти	GuardFall вражає 10 з 11 агентів загалом
Один протестований агент	Не повідомляється як постраждалий у результаті 10 з 11

---

Рекомендовані заходи пом'якшення

Оскільки проблема полягає не просто в поганому списку заборонених слів, а в розбіжності між тим, що бачить безпековий фільтр, і тим, що виконує shell , доцільним є комплексний підхід:

1. Не покладайтеся лише на фільтри безпеки на основі текстових шаблонів. Безпекові перевірки, які шукають очевидні небезпечні рядки, можна обійти, коли Bash інтерпретує обфускований синтаксис інакше, ніж фільтр .
2. Ставтеся до shell-команд як до високоризикових. Команди, створені з виводу моделі або вмісту репозиторію, слід перевіряти, екранувати або, по можливості, уникати їхнього виконання в Bash .
3. Зменште радіус ураження. Запускайте AI-агенти кодування з мінімально необхідними привілеями, особливо коли вони працюють із клонованими репозиторіями або іншим зовнішнім вмістом.
4. Застосовуйте патчі від розробників, коли вони доступні. Деякі пов'язані вразливості AI-агентів кодування вже були виправлені, зокрема виправлення Google для критичної вразливості Gemini CLI (GHSA-wpqr-6v78-jr5g) .
5. Вручну перевіряйте запропоновані агентом команди перед виконанням у критичних середовищах.
6. Ставтеся до зовнішнього вмісту (README, файли коду) як до ненадійного, оскільки атаки типу GuardFall покладаються на те, що агент поглинає шкідливий вміст .

---

Ширший контекст проблем безпеки — червень 2026 року

У червні 2026 року з'явилися повідомлення про кілька скоординованих розкриттів вразливостей, які свідчать про те, що багато AI-агентів кодування мають подібні структурні слабкості, пов'язані з довірою, виконанням команд і вмістом робочого простору .

• TrustFall — Відкриття шкідливого репозиторію в таких інструментах, як Claude Code, Cursor, Gemini CLI або GitHub Copilot, і прийняття запиту на довіру було достатньо для запуску коду зловмисника, який міг отримати доступ до чутливих локальних даних, таких як SSH-ключі, хмарні облікові дані та історія shell .
• SymJack — Клас RCE-атак через символічні посилання, що вражає кілька агентів, включаючи Claude Code, Cursor, Antigravity, Copilot CLI та Grok Build .
• GuardFall — Дослідження Adversa AI показало, що поведінка парсингу Bash може бути використана для обходу безпекових перевірок команд AI-агентів .
• Gemini CLI CVSS 10.0 — Google виправив критичну вразливість у Gemini CLI (GHSA-wpqr-6v78-jr5g), де автоматичне виконання в CI/CD автоматично довіряло файлам робочого простору, контрольованим зловмисником, що дозволяло виконувати довільні команди .

Ключові структурні проблеми, на які вказують дослідники:

• Ін'єкція промптів залишається центральним ризиком для агентних інструментів кодування, і NIST характеризує її як «найбільший недолік безпеки генеративного ШІ», а OWASP ставить її на перше місце у своєму рейтингу вразливостей для LLM-додатків .
• Запити на довіру самі по собі недостатні, оскільки атаки типу TrustFall описують виконання коду зловмисника після того, як користувач прийняв запит на довіру до репозиторію .
• Текстові перевірки безпеки команд не є повним безпековим кордоном, оскільки атаки типу GuardFall покладаються на те, що Bash інтерпретує обфусковані рядки команд інакше, ніж безпековий шар .
• Реакція розробників була нерівномірною, і деякі, як-от Google та Cursor, відмовилися виправляти проблеми TrustFall/SymJack, тоді як xAI та GitHub Copilot CLI не відповіли дослідникам .