Die von Pillar Security entdeckte Schwachstelle steckt im Werkzeug-Ausführungsmodell von Antigravity. Sie erlaubt es Angreifern, eine zunächst harmlos wirkende Prompt Injection zu einer vollständigen Systemübernahme auszuweiten. Betroffen ist der Parameter „Pattern" des Werkzeugs find_by_name: Eine unzureichende Eingabeprüfung ermöglicht es, Kommandozeilen-Flags in das zugrunde liegende Dienstprogramm fd einzuschleusen. Damit wird aus einer Dateisuche faktisch die Ausführung beliebigen Codes.

In Kombination mit der Fähigkeit von Antigravity, Dateien anzulegen — eine erlaubte Aktion —, ergibt sich nach Darstellung von Pillar-Forscher Dan Lisichkin eine vollständige Angriffskette: Ein Schadskript wird platziert und anschließend über eine scheinbar legitime Suche ausgelöst, ohne dass nach erfolgter Prompt Injection ein weiteres Zutun des Nutzers nötig ist.

Besonders gefährlich ist die Lücke laut Lisichkin, weil sie den Secure Mode umgeht — die restriktivste Sicherheitskonfiguration des Produkts. Dieser Modus soll den Netzwerkzugriff beschränken, Schreibvorgänge außerhalb des Arbeitsbereichs verhindern und sämtliche Befehle strikt innerhalb einer Sandbox ausführen. „Keine dieser Kontrollen verhindert den Angriff, weil der Aufruf von find_by_name erfolgt, bevor diese Beschränkungen überhaupt ausgewertet werden", schrieb Lisichkin. Der Agent behandle den Aufruf als nativen Werkzeugaufruf und nicht als Shell-Befehl, sodass er die von Secure Mode durchgesetzte Sicherheitsgrenze nie erreiche. Ein Angreifer erlange so genau unter jener Konfiguration Codeausführung, auf die sich ein sicherheitsbewusster Nutzer zum Schutz verlassen würde.

Nach Angaben von Pillar bestätigte Google die im Januar gemeldete Schwachstelle und behob sie im Februar; das Forschungsteam erhielt eine Belohnung aus dem Bug-Bounty-Programm, deren Höhe nicht genannt wurde. Eine Anfrage von Dark Reading ließ Google bis zur Veröffentlichung unbeantwortet.

Fredrik Almroth, Mitgründer und Sicherheitsforscher beim Anbieter Detectify, ordnet den Fall als grundsätzliches IDE-Problem ein, nicht als Folge des KI-Charakters von Antigravity. „Das ist ein Problem über IDEs hinweg, ob mit KI oder ohne", sagte er gegenüber Dark Reading. Sobald ein Werkzeug Dateien lese, schreibe oder Befehle ausführe, bestehe ein Risiko; eine „vollständig sichere" Sandbox sei praktisch unmöglich. Als Beispiel nannte er AngularJS, ebenfalls von Google entwickelt: Die 2010 eingeführte Sandbox gegen Template-Injection-Angriffe (XSS) sei in allen Versionen von Angular v1 umgangen worden und in v2 vollständig entfernt worden.

Pillar zufolge zeigen auch andere KI-gestützte IDEs ähnliche Schwächen. Frühere Untersuchungen des Unternehmens zur Prompt-Injection-Lücke CVE-2026-22708 in der Entwicklungsumgebung Cursor belegten, dass sich das Muster über agentische IDEs hinweg wiederholt, sobald Eingaben nicht streng validiert werden. Das Vertrauensmodell, wonach ein Mensch Verdächtiges bemerke, halte nicht stand, wenn autonome Agenten Anweisungen aus externen Inhalten befolgen.

Um das übergeordnete Problem zu lösen, müsse die Branche laut Lisichkin von reiner Eingabebereinigung hin zu einer echten Ausführungsisolation übergehen, da jeder native Werkzeugparameter, der einen Shell-Befehl erreiche, ein potenzieller Einfallspunkt sei.