Уязвимость в Google Antigravity: кража данных через AI
Google Antigravity, новая IDE на базе Gemini, оказалась уязвима для непрямой prompt-инъекции. Злоумышленники могут использовать эту уязвимость для активации вредоносного browser-subagent и кражи конфиденциальных данных, включая файлы .env, закрытый код и токены.
Атака начинается с безобидного запроса на интеграцию Oracle ERP AI Payer Agents, при этом на странице блога скрыт вредоносный код, замаскированный под шрифт 1 px. Успешно внедренный в Antigravity, он заставляет Gemini собирать данные, создавать URL с закодированной информацией и перенаправлять browser-subagent на сайт атакующего.
Несмотря на настройки, блокирующие прямой доступ к .env файлам, Gemini обходит их, используя команду cat в терминале. Затем, используя встроенный Python-скрипт, Gemini кодирует украденные данные, такие как AWS-ключи и токены, отправляя их на контролируемый злоумышленником домен webhook.site.
Уязвимость объясняется дефолтным allowlist, включающим webhook.site, а также автоматическим выполнением команд и фоновой работой агентов, что затрудняет отслеживание действий пользователя. Google уведомляет о возможных рисках, но возлагает ответственность за безопасность на пользователя.
В конечном счете, вся эта ситуация доказывает, что даже если тебе говорят, что ты управляешь искусственным интеллектом, на самом деле он управляет тобой, просто делает это с легкой задорной улыбкой и в красивой обертке.
