Novee Security descubrió vulnerabilidades críticas en los agentes de codificación de Google, Anthropic y OpenAI que permitían la ejecución de código no autorizado. Los fallos se centraron en el entorno de ejecución y no en los modelos, afectando a Gemini CLI y Claude Code mediante inyecciones de comandos y filtración de claves. La mayoría ya han sido parcheados, aunque OpenAI implementó cambios en el flujo de trabajo y documentación en lugar de un parche de producto.







Un problema de GitHub abierto por una cuenta sin privilegios en el repositorio fue suficiente para ejecutar código en los corredores de CI detrás de los repositorios de agentes de codificación de Anthropic y Google. En el de OpenAI, fue suficiente para secuestrar la siguiente ejecución del agente.

Novee Security lanzó el ataque contra el agente de cada proveedor en la configuración que el proveedor envía por defecto y presentó el trabajo en Black Hat USA el 5 de agosto. De ello surgieron dos CVE. Ambos están parcheados.

Gemini CLI tiene el peor de los dos. El CVE-2026-12537 (puntuación CVSS 4: 10.0) es una inyección de comandos del SO en el lanzador del contenedor, alcanzada a través de un archivo .gemini/.env manipulado, que permite que un atacante sin privilegios ejecute código en el host de una plataforma de CI sin interfaz antes de que se inicie el sandbox. Está solucionado en Gemini CLI 0.39.1 y run-gemini-cli 0.1.22.

En Claude Code, el CVE-2026-54316 convirtió el contador de descargas públicas de Hugging Face en un canal de exfiltración que filtraba una clave de API un carácter a la vez, y está solucionado en la versión 2.1.163. Todas las versiones de Claude Code desde la 0.2.54 hasta la 2.1.163 están afectadas. Anthropic afirma que la explotación requería introducir contenido no confiable en un contexto de Claude Code.

El hallazgo de Codex no produjo ni un parche de versión de producto ni un CVE. Novee dice que la posición de OpenAI es que su sandbox se comportó exactamente como estaba documentado. Actualiza Gemini CLI a 0.39.1, run-gemini-cli a 0.1.22 y Claude Code a 2.1.163, y luego audita cualquier flujo de trabajo que un usuario externo pueda activar.

El error de ejecución de host de Gemini no requirió convencer al modelo de nada. En los tres casos, el fallo recurrente estaba en el arnés, el código alrededor del modelo que decide qué se ejecuta realmente: una parte marcaba un valor como seguro y una parte posterior actuaba sobre ese valor con más autoridad.

"El arnés es el código entre el modelo y el mundo real", escribió el ingeniero fundador de Novee, Elad Meged aquí.

Novee descubrió que el validador de comandos de Claude Code elimina el texto entre comillas simples antes de que se ejecuten sus 23 comprobaciones, lo cual es el comportamiento correcto para bash, por lo que un payload en el valor de git push --receive-pack, una bandera que ejecuta git, llegó al corredor intacto. Esa cadena no tiene CVE ni versión corregida declarada públicamente.

Gemini CLI analizaba su lista de permitidos de herramientas solo al registrar la herramienta; en tiempo de ejecución nada lo imponía y, bajo el comando --yolo, cada comando que el modelo pedía era aprobado automáticamente. Google abordó tanto esto como el fallo del lanzador de contenedores en un aviso aquí, que dice que la corrección "afecta a todas las GitHub Actions de Gemini CLI".

Ese aviso en sí mismo todavía no muestra ningún CVE; Google Cloud publicó el identificador por separado como CNA, remitiendo a él. Anthropic aquí califica el fallo de Claude Code como Moderado con un CVSS v4 de 6.0, mientras que NVD aquí asignó una puntuación CVSS v3.1 de 9.1. NVD no lo ha puntuado bajo v4, por lo que las dos cifras no son una comparación directa.

El hallazgo de Codex es el que no tiene versión para instalar. Novee descubrió que el repositorio openai/codex ejecutaba dos pases de Codex dentro de un solo trabajo compartiendo un mismo checkout, por lo que el primer pase podía escribir AGENTS.md, el archivo que el segundo pase carga como sus propias instrucciones. El fallo de la validación JSON entre los pases fue lo que lanzó el segundo.

El flujo de trabajo actual de OpenAI aquí separa los pases en trabajos diferentes y ejecuta Codex con drop-sudo y un sandbox de solo lectura. La guía de OpenAI aquí ahora incluye los archivos de instrucciones del repositorio entre el contenido que "debe considerarse parte de la superficie de entrada no confiable" y recomienda ejecutar Codex como el último paso de un trabajo, advirtiendo que, de lo contrario, podría dejar archivos para los pasos privilegiados que sigan.

Ningún cambio muestra que el propio Codex maneje ahora de forma diferente un archivo de instrucciones escribible; lo que las fuentes establecen es una corrección del flujo de trabajo a nivel de repositorio y una actualización de la documentación.

La entrada de CISA en los registros de CVE tanto de Gemini aquí como de Claude Code enumera la explotación como ninguna, y se confirmó el 7 de agosto que ninguno aparece en el catálogo de Vulnerabilidades Explotadas Conocidas de la agencia. También se encontró un repositorio público de GitHub que se describe a sí mismo como un laboratorio de reproducción para el fallo de Claude Code, activo desde el 18 de junio. Nada en las fuentes revisadas muestra que ninguna de las dos cadenas haya sido utilizada contra un objetivo.

Esto ocurre mientras Pillar Security informó aquí el 4 de agosto que los operadores del gusano npm ChainDrop plantaron un hook de SessionStart de Claude Code y una tarea folderOpen de VS Code en repositorios comprometidos, activándose cuando un desarrollador abría el espacio de trabajo en lugar de esperar a una instalación.

Fuente:
THN