Die Gefahr lauerte in einem vermeintlich harmlosen Modus: Im sogenannten “–yolo Mode” ignorierte Gemini CLI die Sicherheitsrichtlinien für Tool-Aufrufe komplett. Das bedeutet, dass alle Befehle automatisch genehmigt wurden, ohne menschliche Kontrolle oder Validierung. Angreifer hätten diese Lücke ausnutzen können, um indirekte Prompt-Injektionen über GitHub-Issues durchzuführen.
Das Angriffszenario war perfide durchdacht: Ein Angreifer hätte eine öffentliche Issue in einem Google-Repository erstellen und darin versteckte bösartige Prompts einbetten können. Der KI-Agent, der automatisch Issues triagieren sollte, hätte diese Anweisungen ohne Überprüfung ausgeführt. Mit der richtigen Prompt-Formulierung hätte der Agent interne Geheimnisse aus der Build-Umgebung extrahieren und an einen von Angreifern kontrollierten Server übermitteln können.
Von dort aus wäre der Weg zu vollständiger Kontrolle kurz gewesen: Mit gestohlenen Zugangsdaten hätten Angreifer Token mit vollständiger Schreib-Zugriff auf das Repository erhalten. Anschließend wäre beliebiger Code in den Main-Branch von Gemini CLI eingespielt worden – und von dort in jeden nachgelagerten Nutzer geflossen. Eine klassische Supply-Chain-Kompromittierung.
Parallel zur Hauptschwachstelle gab es ein zweites Sicherheitsproblem im Headless-Mode: Gemini CLI vertraute automatisch dem aktuellen Arbeitsverzeichnis und lud jede darin befindliche Konfiguration oder Umgebungsvariable. Dies hätte es Angreifern ermöglicht, Credentials, Secrets und Quellcode über vulnerable CI-Workflows abzugreifen.
Googles Patch in Version 0.39.1 führte Tool-Allowlisting auch im –yolo Mode ein und behob das Vertrauensproblem im Headless-Mode. Auch die GitHub Action für Gemini CLI wurde entsprechend aktualisiert. Dass mindestens acht weitere Google-Repositories das anfällige Workflow-Template nutzten, macht deutlich: Solche Probleme sind systemisch, nicht isoliert.
Für Unternehmen und Entwickler gilt die Lehre: Automatisierte KI-Agenten benötigen strikte Sicherheitsgrenzen, unabhängig vom gewählten Betriebsmodus. Open-Source-Dependencies erfordern permanente Aufmerksamkeit – ein Update kann den Unterschied zwischen Sicherheit und vollständiger Kompromittierung ausmachen.