Google Gemini CLI 修复 $VAR 变量展开绕过漏洞
thalha-a9 · ghdev · 2026-07-15
Google 的 Gemini CLI 合并了一个针对命令执行安全的修复 PR，堵住了 $VAR 和 ${VAR} 变量展开绕过防护的问题。
- 这次修复补强了 Bash 和 PowerShell 两套检测逻辑，避免 detectBashSubstitution() 与 detectPowerShellSubstitution() 里的不完整检查被绕过。
- PR 同时加入了安全自动变量白名单，测试覆盖扩展到 120 个用例，并在 GitHub 工作流里加强防护：在沙箱环境中清空 GITHUBTOKEN，降低横向影响。
- 作者还给出了完整验证结果：vitest、pre-commit、CI 全绿，并确认只有一个调用点受影响，没有意外副作用。
「编程与Agent」频道最新
- 用一份一页 spec，Codex 3 分 28 秒复刻 Linear 核心 — aakashgupta · 2026-10-27
- Reticle 推出 AI 编码代理验证层：让 agent 自查生成的代码是否真的能跑 — Scobleizer · 2026-10-27
- 信任你的 Agent，但一定要读它的日志 — brada · 2026-10-27
- 开发者正训练「看门模型」：专门拦截提示注入与记忆投毒 — gnukeith · 2026-10-27
- 开发者训练 4GB 显存可跑的哨兵模型,专防 prompt 注入与记忆投毒 — gnukeith · 2026-10-27
- AI 编程编辑器 Paradev 获 1150 万美元种子轮，USV 领投 — massimosgrelli · 2026-10-27