Google Gemini CLI 修复 $VAR 变量展开绕过漏洞
thalha-a9 · ghdev · 2026-07-15
Google 的 Gemini CLI 合并了一个针对命令执行安全的修复 PR，堵住了 $VAR 和 ${VAR} 变量展开绕过防护的问题。
- 这次修复补强了 Bash 和 PowerShell 两套检测逻辑，避免 detectBashSubstitution() 与 detectPowerShellSubstitution() 里的不完整检查被绕过。
- PR 同时加入了安全自动变量白名单，测试覆盖扩展到 120 个用例，并在 GitHub 工作流里加强防护：在沙箱环境中清空 GITHUBTOKEN，降低横向影响。
- 作者还给出了完整验证结果：vitest、pre-commit、CI 全绿，并确认只有一个调用点受影响，没有意外副作用。
「编程与Agent」频道最新
- Bugbot 拒绝一个会破坏路径隔离的 MCP 权限标志 — zeeg · 2026-07-27
- 一个 GPT-5.6 agent 在看家，另一个在做恶搞说唱 — repligate · 2026-07-27
- Agent 复用已登录浏览器后，风控问题反而解决了 — armanidev_ · 2026-07-27
- 论文提出图拓扑可成为 AI Agent 核心框架 — theomitsa · 2026-07-27
- Claude Code 桌面版新增 UI 标注反馈编辑 — EricBuess · 2026-07-27
- Anthropic 称 Claude Code 删掉 80% 系统提示词仍不掉分 — krishnan · 2026-07-27