Gemini CLI sotto attacco, il nuovo AI-assistant di Google espone i dev a esecuzione silente di codice

A fine giugno 2025 Google ha lanciato Gemini CLI, uno strumento da riga di comando pensato per integrare direttamente nel terminale i modelli Gemini 2.5 Pro. L’obiettivo dichiarato era semplificare i flussi di lavoro degli sviluppatori: analisi di repository, suggerimenti di refactoring, esecuzione di comandi shell e automazione di task quotidiani. Una promessa allettante, soprattutto per chi lavora in ambienti complessi e vuole un assistente AI sempre disponibile in locale.

Ma a pochi giorni dal rilascio, il 27 giugno, la società di sicurezza Tracebit ha scoperto un difetto critico che ha trasformato l’entusiasmo in allarme: una vulnerabilità capace di consentire esecuzione arbitraria di codice in maniera silente, sfruttando un meccanismo apparentemente innocuo.

Il problema nasce dal sistema di whitelisting dei comandi previsto da Gemini CLI. In teoria, i comandi frequenti come ls, cat o grep possono essere autorizzati una volta, senza richiedere conferma ad ogni esecuzione. In pratica, però, questo ha aperto la porta a scenari pericolosi. Tracebit ha dimostrato che un file di contesto (ad esempio un README.md) può contenere istruzioni occulte: Gemini, quando esegue la richiesta “Tell me about this repo”, interpreta il comando whitelisted e, se nello stesso input sono presenti istruzioni nascoste, le esegue in automatico senza chiedere nulla all’utente.

Il proof-of-concept ha mostrato come sia possibile inserire in un README un banale grep seguito da un comando malevolo, come l’esfiltrazione delle variabili d’ambiente con env e l’invio a un server remoto tramite curl. Il risultato? Token, credenziali e segreti interni possono essere sottratti in pochi secondi, senza che lo sviluppatore si accorga di nulla. L’attacco, definito da Tracebit una vera e propria “prompt injection”, è semplice da replicare e non richiede exploit avanzati: basta convincere qualcuno a usare Gemini CLI su un repository “trappola”.

La gravità del bug è duplice: da un lato colpisce sviluppatori che lavorano con codice di terze parti (ad esempio su GitHub), dall’altro mette in evidenza un problema strutturale degli agenti AI che hanno facoltà di eseguire comandi reali. Se il confine tra suggerimento e azione non è ben gestito, il rischio operativo diventa immediato.

Google ha reagito rapidamente: il 25 luglio 2025 è uscita la versione 0.1.14 di Gemini CLI, che corregge il difetto. Ora ogni comando sospetto viene mostrato in chiaro e richiede conferma esplicita, anche se derivato da un contesto apparentemente autorizzato. In aggiunta, Google consiglia agli sviluppatori di usare lo strumento in ambienti isolati come container Docker, Podman o le sandbox di macOS, in modo da limitare eventuali danni in caso di future vulnerabilità.

Questo episodio è emblematico: la corsa all’integrazione dell’AI negli strumenti di sviluppo porta vantaggi tangibili, ma introduce anche superfici d’attacco inedite. Nel caso di Gemini CLI, un assistente nato per accelerare la produttività si è trasformato in un potenziale cavallo di Troia. Il messaggio per la community è chiaro: non basta affidarsi al marchio o alla rapidità dell’innovazione, bisogna testare e isolare ogni nuovo strumento che abbia accesso a sistemi o dati sensibili.

Chi utilizza Gemini CLI oggi deve semplicemente aggiornare alla release corretta e prestare attenzione ai repository non verificati. Ma sul piano più ampio, questa vicenda insegna che la sicurezza degli AI agentici non è un dettaglio tecnico: è un requisito essenziale per poterli adottare davvero in produzione