prompt injections.de
Dokumentierter Vorfall · 2025

Command- und Prompt-Injection im Gemini CLI

Cyera Research Labs meldete Command- und Prompt-Injection-Schwachstellen im Gemini CLI. Agentische Kommandozeilenwerkzeuge verbinden Dateizugriff, Codeausführung und externe Inhalte — genau die Kombination, die eine eingeschleuste Anweisung besonders gefährlich macht.

Zeitpunkt
2025
Betroffenes System
Gemini CLI (agentisches Kommandozeilenwerkzeug)
Wirkung
Ausführung fremdgesteuerter Befehle im Arbeitsverzeichnis des Entwicklers
Stand der Behebung
Von Google nach der Meldung adressiert
Primärquelle
cyera.com

Der Fall ist ein belegtes Beispiel für Prompt Injection in produktiven Systemen. Die Darstellung ist sachlich und erklärend; sie enthält keine Reproduktionsanleitung. Weitere Fälle stehen in der Vorfall-Übersicht.

Was passiert ist

Ein Coding-Agent liest Projektdateien, um Kontext zu gewinnen. Diese Dateien stammen häufig aus fremden Quellen: geklonte Repositories, Abhängigkeiten, generierte Artefakte.

Enthält eine solche Datei Anweisungen, gelangen sie in denselben Kontext wie der Auftrag des Entwicklers.

Weil das Werkzeug Befehle ausführen darf, kann aus einer gelesenen Zeile eine ausgeführte Aktion auf dem Entwicklerrechner werden.

Der Befund reiht sich in die Klasse der Angriffe auf agentische Werkzeuge ein, bei denen Lesen und Handeln nicht getrennt sind.

Was der Fall zeigt

  • Der Arbeitsordner eines Coding-Agenten ist eine nicht vertrauenswürdige Datenquelle, keine Konfiguration.
  • Codeausführung durch Agenten gehört in eine Sandbox mit eingeschränkten Rechten und ohne dauerhafte Zugangsdaten.
  • Entwicklerwerkzeuge sind ein lohnendes Ziel, weil dort Schlüssel, Quellcode und Produktionszugänge zusammenlaufen.

Verwendete Technik

  • Angriff auf Agenten

    Code-Injektion über LLM-Ausgaben

    Die Ausgabe des Modells wird ungeprüft weiterverarbeitet — als HTML gerendert, als SQL abgesetzt, als Shell-Befehl ausgeführt. Eine Injektion wird damit zu klassischer Codeausführung.

    Risiko hoch
  • Indirekte Injektion

    Injektion über Dokumente

    PDF-, Office- oder Textdateien enthalten versteckte Anweisungen, die wirksam werden, sobald ein Assistent das Dokument zusammenfassen oder auswerten soll.

    Risiko hoch
  • Angriff auf Agenten

    Werkzeug-Missbrauch durch Injektion

    Die eingeschleuste Anweisung veranlasst den Agenten, seine angebundenen Werkzeuge zweckwidrig einzusetzen — Mails versenden, Dateien schreiben, Käufe auslösen, Code ausführen.

    Risiko hoch

Quellen

  1. Cyera Research Labs: Command- und Prompt-Injection-Schwachstellen im Gemini CLI: https://www.cyera.com/research/cyera-research-labs-discloses-command-prompt-injection-vulnerabilities-in-gemini-cli

Im Zusammenhang