由於這些代理可能先將 LLM 產生的 Shell 指令傳送給安全檢查器，再交由真正的 Shell 解讀，攻擊者可以將混淆指令嵌入代理攝取的內容（例如一個遭汙染的 README 檔案）。如此一來，安全層會將指令視為無害，但 Bash 卻會執行危險動作 。

根據報導，GuardFall 影響了11 個熱門開源 AI 程式碼代理中的10 個 。

受影響的工具

現有報導指出以下開源代理受到 GuardFall 影響 ：

建議的緩解措施

由於此問題不僅是惡意關鍵字清單的問題，而是安全檢查器所見與 Shell 最終執行內容之間的落差 ，因此適合採用多層次的做法：

1. 不要僅依賴字串樣式安全過濾器。 只尋找明顯危險字串的安全檢查，可在 Bash 以不同於檢查器的方式解讀混淆語法時被繞過 。
2. 將 Shell 邊界視為高風險。 從模型輸出或倉儲內容組合而成的指令，在傳遞給 Bash 前應進行審查、跳脫（escaping），或盡可能避免使用 。
3. 降低爆炸半徑。 以任務所需的最小權限執行 AI 程式碼代理，特別是在處理複製的倉儲或其他外部內容時。
4. 在可用時套用廠商修補程式。 相關的 AI 程式碼代理漏洞在某些情況下已獲修補，包括 Google 針對代號為 GHSA-wpqr-6v78-jr5g 的最高嚴重性 Gemini CLI 問題所進行的修復 。
5. 在敏感環境中手動審查代理建議的指令，再行執行。
6. 將外部內容（如 README 和程式碼檔案）視為不可信賴，因為 GuardFall 風格的攻擊依賴於代理攝取惡意內容 。

更廣泛的業界擔憂——2026 年 6 月

2026 年 6 月的報導描述了多項協調性漏洞揭露，顯示許多 AI 程式碼代理在信任、指令執行與工作區內容方面存在相似的結構性弱點 。

• TrustFall——在 Claude Code、Cursor、Gemini CLI 或 GitHub Copilot 等工具中開啟一個惡意倉儲並接受信任提示，據報導就足以執行攻擊者程式碼，進而存取敏感的本地資料，例如 SSH 金鑰、雲端憑證與 Shell 歷史 。
• SymJack——一種符號連結劫持（symlink-hijack）的 RCE 類別，被報導為影響多個代理的較安靜攻擊模式，包括 Claude Code、Cursor、Antigravity、Copilot CLI 和 Grok Build 。
• GuardFall——Adversa AI 的 GuardFall 研究顯示，Bash 的解讀行為可用於繞過 AI 程式碼代理的指令安全檢查 。
• Gemini CLI CVSS 10.0——Google 修補了 Gemini CLI 中一個追蹤編號為 GHSA-wpqr-6v78-jr5g 的最高嚴重性漏洞。在該漏洞中，無頭（headless）CI/CD 執行環境會自動信任攻擊者控制的工作區檔案，從而在 CI/CD 建置執行器上允許任意指令執行 。

研究人員強調的關鍵結構性隱憂：

• 提示注入（Prompt injection）仍是代理型程式碼工具的核心風險，NIST 已將其描述為「生成式 AI 最大的安全缺陷」，而 OWASP 則將其列為 LLM 應用 Top 10 中的首要漏洞 。
• 僅有信任提示是不夠的，因為 TrustFall 風格的報導描述了在使用者接受倉儲信任提示後，攻擊者程式碼即可執行的情況 。
• 基於文字的指令安全檢查並非完整的安全邊界，因為 GuardFall 風格的攻擊依賴於 Bash 以不同於安全層的方式解讀混淆的指令字串 。
• 廠商回應不一致，報導指出 Google 與 Cursor 拒絕修補 TrustFall/SymJack 風格的問題，而 xAI 與 GitHub Copilot CLI 則未回應研究人員 。

由於這些代理可能先將 LLM 產生的 Shell 指令傳送給安全檢查器，再交由真正的 Shell 解讀，攻擊者可以將混淆指令嵌入代理攝取的內容（例如一個遭汙染的 README 檔案）。如此一來，安全層會將指令視為無害，但 Bash 卻會執行危險動作 。

根據報導，GuardFall 影響了11 個熱門開源 AI 程式碼代理中的10 個 。

受影響的工具

現有報導指出以下開源代理受到 GuardFall 影響 ：

建議的緩解措施

由於此問題不僅是惡意關鍵字清單的問題，而是安全檢查器所見與 Shell 最終執行內容之間的落差 ，因此適合採用多層次的做法：

1. 不要僅依賴字串樣式安全過濾器。 只尋找明顯危險字串的安全檢查，可在 Bash 以不同於檢查器的方式解讀混淆語法時被繞過 。
2. 將 Shell 邊界視為高風險。 從模型輸出或倉儲內容組合而成的指令，在傳遞給 Bash 前應進行審查、跳脫（escaping），或盡可能避免使用 。
3. 降低爆炸半徑。 以任務所需的最小權限執行 AI 程式碼代理，特別是在處理複製的倉儲或其他外部內容時。
4. 在可用時套用廠商修補程式。 相關的 AI 程式碼代理漏洞在某些情況下已獲修補，包括 Google 針對代號為 GHSA-wpqr-6v78-jr5g 的最高嚴重性 Gemini CLI 問題所進行的修復 。
5. 在敏感環境中手動審查代理建議的指令，再行執行。
6. 將外部內容（如 README 和程式碼檔案）視為不可信賴，因為 GuardFall 風格的攻擊依賴於代理攝取惡意內容 。

更廣泛的業界擔憂——2026 年 6 月

2026 年 6 月的報導描述了多項協調性漏洞揭露，顯示許多 AI 程式碼代理在信任、指令執行與工作區內容方面存在相似的結構性弱點 。

• TrustFall——在 Claude Code、Cursor、Gemini CLI 或 GitHub Copilot 等工具中開啟一個惡意倉儲並接受信任提示，據報導就足以執行攻擊者程式碼，進而存取敏感的本地資料，例如 SSH 金鑰、雲端憑證與 Shell 歷史 。
• SymJack——一種符號連結劫持（symlink-hijack）的 RCE 類別，被報導為影響多個代理的較安靜攻擊模式，包括 Claude Code、Cursor、Antigravity、Copilot CLI 和 Grok Build 。
• GuardFall——Adversa AI 的 GuardFall 研究顯示，Bash 的解讀行為可用於繞過 AI 程式碼代理的指令安全檢查 。
• Gemini CLI CVSS 10.0——Google 修補了 Gemini CLI 中一個追蹤編號為 GHSA-wpqr-6v78-jr5g 的最高嚴重性漏洞。在該漏洞中，無頭（headless）CI/CD 執行環境會自動信任攻擊者控制的工作區檔案，從而在 CI/CD 建置執行器上允許任意指令執行 。

研究人員強調的關鍵結構性隱憂：

• 提示注入（Prompt injection）仍是代理型程式碼工具的核心風險，NIST 已將其描述為「生成式 AI 最大的安全缺陷」，而 OWASP 則將其列為 LLM 應用 Top 10 中的首要漏洞 。
• 僅有信任提示是不夠的，因為 TrustFall 風格的報導描述了在使用者接受倉儲信任提示後，攻擊者程式碼即可執行的情況 。
• 基於文字的指令安全檢查並非完整的安全邊界，因為 GuardFall 風格的攻擊依賴於 Bash 以不同於安全層的方式解讀混淆的指令字串 。
• 廠商回應不一致，報導指出 Google 與 Cursor 拒絕修補 TrustFall/SymJack 風格的問題，而 xAI 與 GitHub Copilot CLI 則未回應研究人員 。