// TOM'S HARDWARE ITALIA — INTELLIGENZA ARTIFICIALE
Claude Code e Gemini CLI, corrette due vulnerabilità nei sistemi CI
Una issue GitHub aperta da un account privo di privilegi sul repository poteva trasformarsi in un punto d’ingresso nei sistemi di continuous integration usati per gli agenti di programmazione. I ricercatori di Novee Security hanno riprodotto l’attacco contro Claude Code di Anthropic e Gemini CLI di Google nelle configurazioni distribuite come predefinite, riuscendo a eseguire codice sui runner CI dei repository ufficiali. Il lavoro, presentato di recente alla Black Hat USA, ha portato all’assegnazione di due CVE, entrambe corrette.
La vulnerabilità più grave è CVE-2026-12537, un’iniezione di comandi nel launcher dei container di Gemini CLI con un punteggio CVSS v4 di 10,0. Un aggressore poteva inserire un file .gemini/.env preparato appositamente e ottenere l’esecuzione di codice sull’host di una piattaforma CI headless prima ancora dell’avvio della sandbox. Google ha risolto il problema in Gemini CLI 0.39.1 e nell’azione run-gemini-cli 0.1.22.
Per Claude Code, CVE-2026-54316 sfruttava invece il contatore pubblico dei download di Hugging Face come canale di esfiltrazione. Il segreto veniva trasmesso un carattere alla volta, permettendo di ricostruire una chiave API senza affidarsi a una normale connessione in uscita. Il problema riguarda le release dalla 0.2.54 alla 2.1.163, indicata anche come versione corretta. Anthropic ha precisato che lo sfruttamento richiedeva l’inserimento di contenuti non fidati nel contesto dell’agente.
Il denominatore comune non risiede nel modello linguistico, ma nell’harness degli agenti, cioè nel codice che collega il modello al sistema operativo, ai repository e agli strumenti disponibili. Un componente considerava sicuro un valore che veniva poi utilizzato da un secondo componente con autorizzazioni superiori. È la stessa superficie di rischio affrontata nella governance degli accessi agli agenti AI, dove permessi troppo ampi possono amplificare un singolo input manipolato.
I ricercatori hanno individuato anche catene prive di CVE. Il validatore di Claude Code rimuoveva il testo racchiuso tra apici singoli prima di applicare 23 controlli, un comportamento coerente con Bash ma insufficiente nel caso del parametro git push --receive-pack, il cui valore viene eseguito da Git. Gemini CLI, invece, interpretava l’elenco degli strumenti consentiti soltanto durante la registrazione: l’esecuzione non applicava nuovamente il vincolo e, in modalità --yolo, ogni comando richiesto dal modello veniva approvato automaticamente. Google ha incluso entrambe le correzioni nello stesso intervento per le GitHub Actions di Gemini CLI.
Anche il repository di Codex presentava un problema di orchestrazione, senza CVE e senza una versione del prodotto da aggiornare. Due esecuzioni dell’agente condividevano lo stesso checkout nello stesso job: la prima poteva scrivere un file AGENTS.md, che la seconda caricava come istruzione. Un errore intenzionale nella validazione JSON permetteva di avviare il passaggio successivo. Il workflow corrente separa le esecuzioni in job distinti e utilizza drop-sudo e una sandbox in sola lettura; la documentazione raccomanda inoltre di trattare i file di istruzioni del repository come input non fidati e di eseguire Codex alla fine del job.
Non risultano prove di sfruttamento contro obiettivi reali e le due CVE non compaiono nel catalogo delle vulnerabilità note come attivamente sfruttate della CISA, sebbene da giugno sia disponibile un laboratorio pubblico per riprodurre la falla di Claude Code. Gli amministratori devono installare Gemini CLI 0.39.1, run-gemini-cli 0.1.22 e Claude Code 2.1.163, quindi verificare ogni workflow attivabile da utenti esterni, limitare i privilegi dei runner e separare i passaggi che condividono file o credenziali.
Aggiungi Tom's Hardware alle tue fonti preferite su Google