Pillar Security descubrió fallos en el Agent Development Kit (ADK) para Python de Google que permitían que entradas maliciosas en pull requests persuadieran a un agente público de publicar comandos reconocidos por una automatización con privilegios, con riesgo de comprometer pipelines de CI/CD y la cadena de suministro de software.
Por qué importa: la vulnerabilidad demuestra que la separación de privilegios entre agentes no es suficiente si una entrada de texto puede ser traducida en comandos ejecutables por una automatización confiable.
Lo esencial
- Pillar Security detectó una cadena de fallos en el repositorio adk-python del ADK de Google.
- Un agente público podía ser inducido a publicar un @gemini‑cli que luego era ejecutado por una automatización con privilegios.
- Google publicó parches el 9 y el 21 de julio tras el reporte inicial recibido a comienzos de junio.
Prompt‑injection en PRs engaña al agente revisor
Los investigadores demostraron que texto malicioso incluido en una pull request podía funcionar como una prompt injection dirigida al agente que revisa PRs. Ese agente, con acceso público y menor privilegio, generaba una salida formateada que contenía un comando especial reconocido por la canalización de automatizaciones.
La prueba de concepto mostró cómo instrucciones aparentemente benignas en la conversación entre agentes se transforman en acciones que un mantenedor humano o una automatización con privilegios interpretan como válidas.
Dispatcher enruta comandos @gemini‑cli a agentes con privilegios
La cadena de explotación dependía de un dispatcher que interpreta comentarios con formato específico y los reenvía a una automatización basada en Gemini, el gran modelo de Google empleado en estas tareas.
Una vez recibido, el agente con privilegios podía realizar tareas de mantenimiento o integrar cambios en pipelines de CI/CD, lo que abre la posibilidad de aprobar o ejecutar código malicioso dentro del flujo de entrega.
