Gemini CLI mit CVSS-10-Lücke: Issue oder Pull Request reicht für volle Codeausführung
KI-generiert mit ChatGPT
Google hat am Ende April 2026 zwei Schwachstellen in Gemini CLI gepatcht. Zusammen erhielten sie den maximalen CVSS-Score von 10,0, den Höchstwert im Industriestandard zur Bewertung von Sicherheitslücken. Im Headless-Modus vertraute das KI-Tool jedem Workspace-Ordner automatisch und las daraus Konfigurationsdateien wie .env ohne Bestätigung. Im --yolo-Modus ignorierte die Tool-Allowlist zudem die feingranulare Konfiguration. Das öffnete in CI-Pipelines einen direkten Weg zur Codeausführung auf dem Host-System.
Google veröffentlichte die genannten Schwachstellen im offiziellen Advisory auf GitHub. Eine CVE-Nummer, also eine offizielle Kennung im internationalen Schwachstellen-Register, wurde nicht vergeben. Die Schwachstellen wurden unabhängig voneinander von zwei Forschern entdeckt, Elad Meged von Novee Security und Dan Lisichkin von Pillar Security. Beide Fälle zeigen denselben Mechanismus. Der KI-Agent behandelt nicht vertrauenswürdige Repository-Inhalte als Quelle für ausführbare Anweisungen.
Zwei Schwachstellen, ein Mechanismus
Der erste Fehler steckt in der Trust-Logik für Workspace-Ordner im Headless-Modus. Gemini CLI stufte jeden Arbeitsordner automatisch als vertrauenswürdig ein und übernahm ohne Nachfrage Konfigurationsdateien wie .env aus dem lokalen .gemini/-Verzeichnis. Diese Dateien können Umgebungsvariablen setzen. In CI-Setups wie GitHub Actions, die Pull Requests von externen Entwicklern bauen, kontrolliert der Angreifer den Inhalt dieses Ordners vollständig. Schadcode startet dadurch auf dem Host, noch bevor die Sandbox initialisiert wird.
Damit umgeht der Angreifer alle Sicherheitsmechanismen, die der quelloffene KI-Agent OpenClaw oder Gemini CLI sonst um den Agenten legen. Diesen Vektor fanden die Forscher von Novee Security. Das zweite Problem steckt im --yolo-Modus. Hier ignorierte Gemini CLI die feingranulare Tool-Allowlist in ~/.gemini/settings.json. Eine Allowlist wie run_shell_command(echo) erlaubte also jeden Shell-Befehl, nicht nur echo.
Pillar Security baute die vollständige Angriffskette in einer eigenen Organisation nach. Die Forscher kopierten dafür die Workflows für Triage und Smoke-Tests aus dem gemini-cli-Repository. Eine öffentlich einsehbare Issue mit versteckten Anweisungen genügte, um den Angriff anzustoßen. Der Triage-Agent lief im --yolo-Modus und nahm die Issue als Eingabe entgegen.
Genau an dieser Stelle kam die Prompt Injection ins Spiel. Bei einer Prompt Injection schmuggeln Angreifer Anweisungen als getarnten Inhalt in den Eingabetext. Der Agent interpretiert sie dann als legitime Befehle. Die theoretisch erreichbare Wirkung wäre ein Push in den Main-Branch über das GITHUB_TOKEN aus .git/config gewesen. Das Live-Repository blieb unangetastet.
Pillar taufte die Schwachstelle auf den Namen „TrustIssues“. Das gemini-cli-Repository hat über 101.000 GitHub-Sterne und ist eines der populärsten KI-Tools auf der Plattform.
AnzeigePatches und harter Bruch
Behoben sind beide Schwachstellen in Gemini CLI 0.39.1. Auch die GitHub Action run-gemini-cli enthält ab Version 0.1.22 den Fix. Die neuen Versionen verlangen explizites Vertrauen pro Ordner. Wer das Tool unverändert in einem Workflow weiter nutzt, muss zwei Wege gehen. Entweder die Umgebungsvariable GEMINI_TRUST_WORKSPACE: 'true' setzen oder den Workflow nach den Empfehlungen von Google härten.
Der Patch bricht Bestandsworkflows. GitHub Actions, die das automatische Trust-Verhalten ausnutzen, scheitern jetzt am Laden der Workspace-Settings. Zusätzlich blockiert die neue Policy-Engine im --yolo-Modus jeden Tool-Aufruf, der nicht explizit auf einer Allowlist steht. Dieses Verhalten ähnelt strukturell den Risiken, die ClawNews bereits beim Thema CI/CD-Pipelines als wachsende Schwachstelle für KI-Agenten beschrieben hat.
Warum die Schwachstelle für OpenClaw-Nutzer relevant ist
Für die OpenClaw-Community ist die Story doppelt relevant. Die Gemini CLI steht in direkter Konkurrenz zu OpenClaw und Claude Code. Zudem trifft die Mechanik einen wunden Punkt aller agentischen Tools. Eine öffentliche Issue oder ein Pull Request reicht oft schon als Eingabe-Vektor. Besagte Risiken hat ClawNews in der Sicherheitsanalyse zu KI-Agenten mit Vollzugriff bereits ausführlich behandelt.
Des Weiteren haben vergleichbare Angriffe in den vergangenen Monaten andere KI-Tools getroffen. Beim Cline-Vorfall im März kaperte eine Prompt Injection in einer GitHub-Issue über 4.000 Rechner. Das Muster wiederholt sich. Aus öffentlichen Eingaben wird ein Ausführungspfad, ohne dass der Nutzer es bemerkt. Wer OpenClaw, Claude Code, Cursor oder Gemini CLI in CI-Pipelines einsetzt, sollte den Workspace deshalb nicht als Nebensache behandeln.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
