Google Antigravity: furto di dati con prompt injection

I ricercatori di PromptArmor hanno scoperto una vulnerabilità in Google Antigravity che può essere sfruttata per effettuare attacchi di prompt injection indiretto e rubati dati sensibili, incluse le credenziali di login. Un altro ricercatore ha individuato altre vulnerabilità. L’azienda di Mountain View ha comunicato che verrà rilasciato un fix.

Descrizione dell’attacco di prompt injection indiretto

Google Antigravity è un ambiente di sviluppo integrato (IDE) che permette di scrivere codice per app agentiche basate su Gemini e modelli di terze parti. Gli esperti di PromptArmor hanno mostrato come è possibile manipolare Gemini per rubare credenziali e dati sensibili dall’IDE.

I ricercatori hanno chiesto ad Antigravity di spiegare come si può integrare AI Payer Agents di Oracle ERP in un’app, fornendo come riferimento il link ad un sito web. All’interno della pagina è stato nascosto il prompt (invisibile all’occhio umano in quanto la dimensione dei caratteri è 1 pixel).

In base alle istruzioni, Gemini deve raccogliere frammenti di codice e credenziali dal codice sorgente dell’utente, creare un URL pericoloso utilizzando un dominio che consenta di acquisire i log del traffico di rete e aggiungere credenziali e frammenti di codice alla richiesta, attivare un subagente del browser per accedere all’URL dannoso e rubare i dati.

Le credenziali sono salvate in un file .env non accessibile. Gemini riesce tuttavia ad aggirare la restrizione usando il comando cat. Le credenziali vengono quindi aggiunte all’URL di un sito monitorato dal presunto cybercriminale. Gemini invoca infine un browser subagente che apre l’URL.

La funzionalità browser di Antigravity prevede un elenco di URL consentiti, uno dei quali è proprio quello usato dai ricercatori per dimostrare la vulnerabilità. All’apertura della pagina web, il cybercriminale legge le credenziali. Le impostazioni predefinite di Antigravity prevedono l’esecuzione automatica dei comandi da parte di Gemini, senza l’intervento dell’utente.

Google ha confermato l’esistenza della vulnerabilità che permette di rubare i dati, promettendo il rilascio di un fix.