Google Gemini CLI 修复 $VAR 变量展开绕过漏洞
thalha-a9 · ghdev · 2026-07-15
Google 的 Gemini CLI 合并了一个针对命令执行安全的修复 PR，堵住了 $VAR 和 ${VAR} 变量展开绕过防护的问题。
- 这次修复补强了 Bash 和 PowerShell 两套检测逻辑，避免 detectBashSubstitution() 与 detectPowerShellSubstitution() 里的不完整检查被绕过。
- PR 同时加入了安全自动变量白名单，测试覆盖扩展到 120 个用例，并在 GitHub 工作流里加强防护：在沙箱环境中清空 GITHUBTOKEN，降低横向影响。
- 作者还给出了完整验证结果：vitest、pre-commit、CI 全绿，并确认只有一个调用点受影响，没有意外副作用。
「编程与Agent」频道最新
- Cognition SWE-2 用 KKT 对偶优化长度惩罚，一次 RL 推移 Pareto 曲线 — YouJiacheng · 2026-09-11
- 首届 Three.js 大会落地巴黎，AI 正缩短从想法到原型的距离 — OdinLovis · 2026-09-11
- 观点：Agent 真正的瓶颈是企业数据工程能力 — dhruv2038 · 2026-09-11
- 实测戳破 RTK 省钱神话:token 省了,账单分文未降 — Bartaseth · 2026-09-11
- GPT-6 Astra 用时 44 小时通关含敌人 Factorio,API 成本约 4500 美元 — liminal_bardo · 2026-09-11
- 投资分析师求教：如何用 Claude 搭建尽调 Agent 工作台 — Careless_Tie2286 · 2026-09-11