Google устранила серьезную брешь в безопасности своей AI-платформы для разработки Antigravity. Как сообщают специалисты из Pillar Security, баг позволял злоумышленникам выполнять вредоносные команды на машинах разработчиков с помощью обычных промпт-инъекций.
Как работала уязвимость
Проблема крылась в инструменте поиска файлов find_by_name. Выяснилось, что Antigravity передавал ввод пользователя напрямую в системную утилиту командной строки без должной валидации. Это позволяло превратить обычный поисковый запрос в команду на выполнение кода (RCE).
Исследователи Pillar Security описали идеальный сценарий атаки:
- Сначала агент создает вредоносный скрипт (это разрешенное действие в системе).
- Затем через специально сформированный поисковый запрос этот скрипт запускается.
- Все это происходит автоматически, как только промпт-инъекция попадает в систему.
Даже Secure Mode не помог
Самое неприятное для вайбкодеров — уязвимость позволяла обходить Secure Mode, самый строгий режим безопасности в Antigravity. В качестве доказательства (PoC) эксперты создали скрипт, который открывал калькулятор на компьютере жертвы через функцию поиска.
«Это позволяет выстроить полную цепочку атаки без какого-либо дополнительного взаимодействия с пользователем», — отметили в Pillar Security.
Таймлайн и контекст
Antigravity был запущен Google в ноябре прошлого года как автономная среда для написания и тестирования кода. Хронология исправления выглядит так:
- 7 января: Pillar Security передали данные Google.
- 28 февраля: Уязвимость была официально закрыта.
Для тех, кто активно использует AI-агентов вроде Cursor, Windsurf или теперь Antigravity, этот кейс — важное напоминание. Когда мы даем агенту права на чтение файлов и выполнение терминальных команд, риск «отравленных» промптов из внешних источников (например, при анализе чужого репозитория) становится реальной угрозой.
Индустрии пора переходить от простой фильтрации ввода к более глубоким архитектурным решениям безопасности, так как автономность агентов будет только расти.
