时政
财经
科技
虚拟货币
其他
登录
#Google Antigravity漏洞
关注
Viking
5小时前
今天 HackerNews 的热贴是讨论前几天很火的 Google Antigravity 数据外泄漏洞 作者模拟了攻击过程,并且成功的窃取到用户的敏感信息。 过程如下: * 作者在一个看似正常的在线教程网站,隐藏了一段几乎看不见的(1px)提示,诱导 Gemini 从用户 IDE 中收集凭证和代码 (图一) * 当用户从这个指南复制内容或者 URL 到 Antigravity 时,注入的指令会悄无声息地激活 (图二) * 即使用户设置了“Allow Gitignore Access > Off”(默认就是关闭的),Gemini 仍能通过终端命令(如 cat .env)直接读取被 .gitignore 屏蔽的文件内容。这证明了 Gemini 的绕过机制——它不直接读取文件,而是用命令行工具间接 dump 数据 * 最终,Gemini 会自动执行提示词中内联Python 脚本来 URL 编码窃取的内容(token + 代码片段),然后构造恶意 URL(如 【编码后的敏感信息】),这样攻击者就可以轻松的访问URL等方式记录这些敏感信息了。 文章中有详细的模拟攻击过程,整个过程详细有趣,大家可以看一看。 作者最后还提供了 Google 的免责声明,“Antigravity warns users about data exfiltration risks during onboarding.” 所以Google 只是知晓风险,但依赖免责声明而非修复漏洞。
#Google Antigravity漏洞
#数据泄露
#Gemini
#HackerNews
#信息安全风险
分享
评论 0
0
个人主页
通知
我的投稿
我的关注
我的拉黑
我的评论
我的点赞