Google устранила серьезную брешь в безопасности своей AI-платформы для разработки Antigravity. Как сообщают специалисты из Pillar Security, баг позволял злоумышленникам выполнять вредоносные команды на машинах разработчиков с помощью обычных промпт-инъекций.

Как работала уязвимость

Проблема крылась в инструменте поиска файлов find_by_name. Выяснилось, что Antigravity передавал ввод пользователя напрямую в системную утилиту командной строки без должной валидации. Это позволяло превратить обычный поисковый запрос в команду на выполнение кода (RCE).

Исследователи Pillar Security описали идеальный сценарий атаки:

1. Сначала агент создает вредоносный скрипт (это разрешенное действие в системе).
2. Затем через специально сформированный поисковый запрос этот скрипт запускается.
3. Все это происходит автоматически, как только промпт-инъекция попадает в систему.

Даже Secure Mode не помог

Самое неприятное для вайбкодеров — уязвимость позволяла обходить Secure Mode, самый строгий режим безопасности в Antigravity. В качестве доказательства (PoC) эксперты создали скрипт, который открывал калькулятор на компьютере жертвы через функцию поиска.

«Это позволяет выстроить полную цепочку атаки без какого-либо дополнительного взаимодействия с пользователем», — отметили в Pillar Security.

Таймлайн и контекст

Antigravity был запущен Google в ноябре прошлого года как автономная среда для написания и тестирования кода. Хронология исправления выглядит так:

• 7 января: Pillar Security передали данные Google.
• 28 февраля: Уязвимость была официально закрыта.

Для тех, кто активно использует AI-агентов вроде Cursor, Windsurf или теперь Antigravity, этот кейс — важное напоминание. Когда мы даем агенту права на чтение файлов и выполнение терминальных команд, риск «отравленных» промптов из внешних источников (например, при анализе чужого репозитория) становится реальной угрозой.

Индустрии пора переходить от простой фильтрации ввода к более глубоким архитектурным решениям безопасности, так как автономность агентов будет только расти.