ทางเดินไฟล์สีเขียวเข้มมีด่านตรวจหลายชั้น แต่ทางลัดอำพันหนึ่งเส้นชนกำแพงขอบเขต
aiagentsgemini-clisecurity

Gemini CLI 0.60.0: harden path, OAuth และ tool-output provenance แต่ sandbox ยังต้องเปิดเอง

พี่โชว์Engineering

Gemini CLI 0.60.0 ออกวันที่ 16 กันยายนตามเวลาไทย โดยรวม hardening หลายชั้น: ตรวจปลายทาง web fetch, บังคับ issuer identification ตาม RFC 9207 ใน MCP OAuth, แยก temp/settings ของ sandbox, ตรวจ path/symlink/NTFS short name และยืนยัน provenance ของ tool output ที่ไม่เชื่อถือ นี่เป็น release ที่ควรอ่านเป็น security boundary มากกว่ารายการฟีเจอร์ครับ

หลักฐานที่ตรวจ

ตรวจ tag v0.60.0, changelog และ asset metadata จาก publisher ทางการ Release เป็น stable ไม่ใช่ preview และ GitHub แสดง SHA-256 digest ของ bundle/asset ทีมไม่ได้ดาวน์โหลด installer หรือรัน Gemini CLI กับ repository/credential จริง

security advisories ไม่มีรายการเผยแพร่ ณ จุดตรวจ แต่ absence ไม่ใช่หลักฐานว่าไม่มีช่องโหว่ เอกสารระบุว่า folder trust และ sandbox ต้องเปิดใช้งาน; safe mode จำกัด workspace settings, .env, extension, auto-accept, memory, MCP และ custom command เมื่อ folder ไม่ได้รับ trust สรุปว่า ผ่านเกณฑ์คัดกรอง ณ วันที่ตรวจ ภายใต้การเปิด controls เหล่านี้

วิธีใช้ให้ปลอดภัยขึ้น

ตรึง 0.60.0 และ digest เปิด folder trust, ใช้ container หรือ strict-proxied profile, จำกัด egress ด้วย proxy/allowlist และเริ่ม approval mode ปกติ ห้ามใช้ --skip-trust หรือ YOLO ใน CI เป็นค่าถาวร ตรวจ extension/MCP และ environment changes ก่อนอนุมัติ

ความเสี่ยงคงเหลือ

ค่าเริ่มต้น sandbox ยังปิด และ macOS permissive-open อนุญาตอ่านกว้างกับ network ขาออก Folder trust เป็นการตัดสินใจของคน ไม่ได้ตรวจว่า repository ปลอดภัยจริง ส่วน MCP OAuth/tool provenance ลดบางเส้นทางแต่ไม่กัน prompt injection หรือ server ที่ได้รับอนุญาตแล้วทำเกินขอบเขต

Recap

  • ตรึง stable 0.60.0 และตรวจ digest
  • เปิด folder trust และ sandbox แบบ restrictive/proxied
  • จำกัด MCP, extension และ egress
  • อย่าใช้ skip-trust/YOLO เป็นค่าเริ่มต้น