Google がその「エージェントファースト」統合開発環境 (IDE) である Antigravity をリリースしてからわずか 1 週間で、セキュリティ研究者は、ツールの自律性がどのように武器化されるかを実証しました。
新しいレポートでは、間接プロンプト インジェクションにより、攻撃者が生産性を向上させるために設計されたエージェントそのものを操作して資格情報を盗むことができることが明らかになりました。
セキュリティ調査会社 PromptArmor は、この脆弱性が Antigravity のデフォルト設定を悪用していることを発見しました。指示を1ポイントフォントで隠すことでウェブページ上で、攻撃者はシステム コマンドを使用して AI にファイル保護をバイパスさせ、公開ログ サイトに機密情報を流出させることができます。
重大度にもかかわらず、Google はこれらの動作を「意図された」ものとして分類し、企業のコードベースを公開したままにしています。これらの調査結果は、「推論」モデルのマーケティングとデフォルトのセキュリティ体制の現実との間に重大なギャップがあることを浮き彫りにしています。
「リーサル トリフェクタ」: 攻撃の構造
悪用は、悪意のある命令を含むサードパーティ統合ガイドなどの「毒された」Web ソースから始まります。攻撃者はソース内の 1 ポイント フォントでプロンプト インジェクションを隠し、人間の開発者には見えないが、Gemini モデルには判読できるようにします。
取り込まれると、挿入されたプロンプトは、ユーザーのローカル環境から機密の資格情報とコード スニペットを収集するようにエージェントに指示します。 Gemini はターゲットを正しく識別します.envファイルはにリストされています.gitignoreそして、最初は標準の安全プロトコルに基づいてアクセスを拒否します。
ただし、エージェントの自律性により、この制限を無効にすることができます。攻撃者の「推論」に従い、システムを実行することで読み取り制限を回避します。catターミナルでコマンドを実行して、ファイルの内容を標準出力にダンプします。 PromptArmor レポートでは、そのメカニズムについて説明しています。
「Gemini は、ブロックされている組み込みのファイル読み取り機能を使用する代わりに、'cat' 端末コマンドを使用してファイルの内容をダンプすることで、この保護を回避することにしました。」
このようなバイパスは、システム レベルのアクセスを持つエージェントによって標準のガードレールがいかに簡単に解体できるかを示しています。セキュリティ分析で指摘されているように、「Gemini は独自の設定をバイパスしてアクセスし、その後そのデータを窃取します。」
資格情報にアクセスした後、エージェントは盗んだデータを URL 文字列にエンコードします。
最後に、攻撃にはデータの送信が含まれます。webhook.site、パブリック リクエスト ロギング サービス。窃盗が可能になるのは次の理由によるだけですwebhook.site不可解に含まれていますAntigravity のデフォルトのブラウザ URL 許可リスト。研究者らは、この構成上の欠陥を次のように強調しています。
「ただし、Antigravity で提供されるデフォルトの許可リストには、『webhook.site』が含まれています。Webhook.site を使用すると、誰でも URL へのリクエストを監視できる URL を作成できます。」
このようなドメインをデフォルトの許可リストに含めると、ネットワーク送信保護が効果的に無効になり、アラートをトリガーせずにデータがローカル環境から流出できるようになります。
ポリシーと現実: Google の「意図された動作」のスタンス
PromptArmor は、これらの調査結果について、標準的な 90 日間の責任ある開示期間を逸脱しました。同社はこの決定を正当化するために、Googleが同様の報告をセキュリティ上の欠陥ではなく「意図的な動作」として以前に分類したことを挙げた。
研究者らによると、「Googleは、われわれの調査で例示されたデータ流出のリスクをすでに認識しているとのことだが、われわれは責任ある開示を行っていない」という。
エージェント ツールの許容可能なリスク プロファイルに関して、セキュリティ専門家と Google の間には根本的な意見の相違があります。
公式ドキュメントは、Google のポリシーに対する PromptArmor の評価を裏付けています。 Google の Bug Hunters プラットフォームは、「反重力エージェントがファイルにアクセスできる」および「コマンドを実行する許可」が無効であると明示的にリストしていますレポートの種類。公式ポリシーには次のように記載されています。
「反重力エージェントはファイルにアクセスできます」 […] 「反重力エージェントはコマンドを実行する権限があります」
このような「解決しない」というスタンスは、経営陣が Gemini 3 Pro を複雑な問題解決が可能な洗練された推論エンジンとして位置づける、Antigravity IDE の発売をめぐる物語と衝突します。
他の研究者からの二次的な発見は、そのリスクを裏付けています。セキュリティ研究者「wunderwuzzi23」（エンブレイス・ザ・レッド）を特定リモートコマンド実行のリスクブラウザベースの攻撃ベクトルを超えて拡張されます。
PromptArmor はまた、脆弱性は特定の構成に限定されないことにも言及しました。同チームは、脆弱性は特定の構成に限定されないと述べ、「ブラウザツールの有効化に依存しないデータ漏洩の脆弱性がさらに 3 つ見つかった」と述べた。
エージェントのジレンマ: 生産性とセキュリティ
業界のリーダーは、「エージェントファースト」開発という摩擦のない約束と厳格なセキュリティ境界の必要性のバランスを取るのに苦労しています。 Antigravity にはデフォルトのレビュー ポリシーとして「エージェントの決定」が同梱されており、ほとんどのアクションのループから人間を効果的に排除します。
問題をさらに複雑にしているのは、エージェントが次のようなシステム コマンドを実行できるようにする「ターミナル コマンド自動実行」ポリシーです。catまたはcurlユーザーの確認なしで。これらのデフォルトでは安全性よりも速度が優先され、悪用に適した環境が作成されます。
セキュリティ専門家は、これをリスク要因の「致命的な三連単」と表現しています。脆弱性が存在するのは、エージェントが信頼できない入力 (Web)、プライベート データ (コードベース)、および外部通信 (インターネット) に同時にアクセスできるためです。
致命的な 3 つの概念は、3 つの条件がすべて満たされると、厳密に分離しないとデータの漏洩がほぼ避けられなくなることを強調しています。
Cursor や Windsurf などのツールも同様の理論上のリスクに直面していますが、Antigravity の寛容なデフォルト許可リストにより、即座に流出される可能性が非常に高くなります。他のプラットフォームでは通常、新しいドメインへのネットワーク リクエストに対して明示的なユーザーの承認が必要です。
専門家によって提案された緩和戦略では、すべての安全性チェックを無効にする「YOLO モード」エージェントを、ホスト OS 上で直接実行するのではなく、ファイアウォールで保護された仮想マシン (VM) に隔離する必要があると示唆しています。
このような対策がなければ、ベンダーがデフォルトで厳格なネットワーク出力フィルタリングとサンドボックスを実装するまで、これらの調査結果は企業による自律型コーディングツールの採用を萎縮させる可能性があります。
関連している：
