Kritische Sicherheitslücke in Googles Antigravity Tool
Google hat eine kritische Remote Code Execution (RCE)-Anfälligkeit in seinem AI-basierten Tool Antigravity behoben. Das Tool dient der automatisierten Dateisystem-Verwaltung durch agentic AI-Systeme und war durch eine schwerwiegende Prompt-Injection-Lücke gefährdet.
Das Problem: Unzureichende Input-Sanitization
Die Sicherheitslücke war nicht in der AI-Logik selbst zu finden, sondern in einer fehlerhaften Sanitization von Benutzer-Eingaben. Angreifer konnten durch manipulierte Prompts die Sandbox-Umgebung umgehen und beliebigen Code auf dem System ausführen. Dies ist besonders kritisch bei agentic AI-Produkten, die bereits erhöhte Systemberechtigungen benötigen, um Dateisystem-Operationen durchzuführen.
Warum das besonders gefährlich war
Agentic AI-Systeme arbeiten mit erweiterten Rechten, um automatisierte Aufgaben zu erledigen. Eine unzureichende Input-Validierung in solchen Kontexten kann zu vollständiger Systemkompromittierung führen. Ein Angreifer hätte über manipulierte Prompts auf Dateien zugreifen, Prozesse starten oder Daten exfiltrieren können—alles unter den Privilegien des Prozesses.
Googles Behebung
Google hat die Input-Sanitization überarbeitet und implementiert nun striktere Validation-Routinen. Damit gehört das Tool zur wachsenden Kategorie von agentic AI-Produkten, die mit erweiterten Berechtigungen arbeiten und deshalb besondere Aufmerksamkeit bei der Sicherheitsvalidierung verdienen.
Lektionen für AI-Sicherheit
Dieser Vorfall verdeutlicht ein Muster, das bei der Integration von AI-Systemen häufig übersehen wird: Nicht die AI selbst ist die Anfälligkeit, sondern die Schnittstellen zwischen AI-Output und Systembefehlen. Sandbox-Escapes entstehen oft durch mangelnde Layer-Trennung zwischen AI-kontrollierten Eingaben und sensitiven Systemaufrufen.
Für Organisationen, die agentic AI-Tools einsetzen oder evaluieren, bedeutet das: Sicherheitsaudits sollten gezielt auf Input-Validierungsketten abzielen, nicht nur auf Prompt-Injection-Resilience im AI-Modell selbst.