Betroffen war laut Pillar Security nicht das verteilte ADK-Python-Paket selbst, sondern die Repository-Automatisierung. Der Angriffsweg begann im öffentlichen Workflow issue-analyze.yml, der automatisch beim Öffnen eines Issues lief. Dieser authentifizierte sich mit ADK_GCP_SA_KEY, übergab ADK_TRIAGE_AGENT und GOOGLE_API_KEY an Googles Coding-Agent Antigravity und veröffentlichte die erzeugte Analyse anschließend als Kommentar über das Bot-Konto.
Ein separater Workflow namens issue-fix.yml reagierte auf Kommentare mit „/adk-issue-fix“ und erlaubte die Ausführung nur für Owner, Member oder Collaborator. Entscheidend war dabei laut Bericht, dass die Schranke nur prüfte, wer den Befehl gepostet hatte — nicht, ob ein Außenstehender das vertrauenswürdige Konto dahinter manipuliert hatte. Genau diese Schwachstelle nutzten die Forscher in ihrer Demonstration aus.
Der privilegierte Job verfügte über Schreibrechte auf Issues, Repository-Inhalte und Pull Requests. Diese Einstellungen galten allerdings für das von GitHub erzeugte GITHUB_TOKEN, nicht für das tatsächlich verwendete Personal Access Token ADK_TRIAGE_AGENT. Dessen genaue Berechtigungen seien öffentlich nicht bekannt, so Pillar. Der Job checkte das Repository mit dem PAT aus, authentifizierte sich bei Google Cloud und startete den Agenten mit dem PAT und dem API-Schlüssel in seiner Umgebung.
Die Automatisierung war dafür ausgelegt, Code zu ändern, einen Fork von adk-bot anzulegen, einen Branch zu pushen und einen Pull Request zu eröffnen. Ein vom Bot erzeugter Pull Request vom 4. Juni zeigt laut Bericht, dass diese Automatisierung im Repository aktiv war. Ob das PAT direkt in den Main-Branch schreiben konnte, lässt sich aus öffentlichen Artefakten nach Angaben von Pillar jedoch nicht ableiten.
Pillar demonstrierte außerdem, wie sich die Befehlseinschränkungen des Runners umgehen ließen. Zwar lehnte der Runner Shell-Metazeichen ab und erlaubte nur Kommandos, deren erstes Token gh oder git war. Das Skript aktivierte jedoch CapabilitiesConfig(), was laut Dokumentation von Googles Antigravity SDK alle Werkzeuge einschließlich Schreibzugriff einschaltet. Dadurch konnte der Agent eine Nutzlast schreiben und anschließend ein erlaubtes Git-Kommando über einen benutzerdefinierten Hook-Pfad zu ihrer Ausführung bringen. Auch die Git-Dokumentation bestätigt, dass Hooks ausführbare Programme sind und sich core.hooksPath auf ein anderes Verzeichnis umleiten lässt.
Nach Angaben von Pillar teilte Google dem Unternehmen mit, dass das Servicekonto Zugriff auf Vertex AI in einem dedizierten GitHub-Management-Projekt hatte; weitergehende Berechtigungen wurden nicht offengelegt. Der Bericht beschreibt die Ausführung auf dem Runner und die Offenlegung von Zugangsdaten, belegt öffentlich aber nicht, welche weitergehenden Zugriffe auf Repository oder Cloud mit diesen Anmeldedaten möglich gewesen wären.
Google entfernte die Dateien issue-analyze.yml, issue-fix.yml und pr-analyze.yml. In dem zugehörigen Commit heißt es, die Workflows hätten nicht vertrauenswürdige Inhalte aus Issues und Pull Requests mit weitreichenden Repository-Zugangsdaten verarbeitet. Die Metadaten des Patches tragen ein Autorendatum vom 9. Juni 2026. Pillar erklärte, am 2. Juli geprüft zu haben, dass die Workflows fehlten; am 21. Juli habe Google die Behebung bestätigt. The Hacker News fand am 4. August 2026 keinen der drei Dateinamen mehr im aktuellen Workflow-Verzeichnis des Main-Branch. Anfragen von The Hacker News an Google zu den Berechtigungen des Bot-Tokens, den Servicekonto-Rechten und möglichen Ausnutzungshinweisen sowie an Pillar Security zur Proof-of-Concept-Umgebung und zum Zugriff auf Zugangsdaten waren zum Zeitpunkt der Veröffentlichung noch unbeantwortet.