Die Schwachstelle sitzt im Container-Launcher der Gemini CLI von Google sowie in der zugehörigen GitHub-Action zum Aufruf dieses Werkzeugs. Beim Zusammenbauen des Betriebssystem-Befehls, mit dem die Sandbox-Umgebung gestartet wird, werden Eingaben nicht ausreichend entschärft. Ein Angreifer kann eine manipulierte Umgebungsdatei im Projektverzeichnis hinterlegen, deren Inhalt in diesen Befehl einfließt. Dadurch werden eigene Betriebssystembefehle ausgeführt – und zwar bereits bevor die abschottende Sandbox greift, also direkt auf dem Host-System. Der Angreifer benötigt dafür keine erhöhten Rechte. Besonders relevant ist das auf automatisierten Build- und CI-Plattformen ohne Benutzerinteraktion: Dort genügt es, dass ein Projekt mit einer präparierten Datei verarbeitet wird, damit fremder Code auf dem Build-Rechner läuft. Auf diese Weise lassen sich Zugangsdaten, Signaturschlüssel oder Artefakte der Bauumgebung abgreifen und die Software-Lieferkette manipulieren.