Google ha lanzado una actualización clave de su herramienta Gemini CLI que introduce nuevas barreras de seguridad para proteger los procesos de desarrollo frente a modificaciones no deseadas. La versión 0.61.0, publicada el pasado miércoles, exige que el usuario confirme explícitamente cualquier cambio en archivos de configuración de compilación antes de que el agente automatizado pueda realizar estos ajustes o ejecutar comandos relacionados.
El principal atractivo de un agente de codificación autónomo como Gemini CLI radica en delegar tareas al agente, otorgándole acceso al repositorio y al conjunto de herramientas del proyecto, para que trabaje sin necesidad de supervisión constante. Sin embargo, esta versión marca una excepción: en determinados momentose el agente debe detenerse y esperar una validación humana antes de proceder.
Evitar ataques mediante modificaciones en archivos de compilación
Archivos esenciales como package.json, Makefile, pyproject.toml o los archivos BUILD de Bazel pueden contener scripts o dependencias que, si son alterados maliciosamente, pueden comprometer la integridad del proyecto. Gemini CLI, en su funcionamiento habitual, puede hacer estas modificaciones basándose en información externa obtenida de búsquedas web o herramientas externas y, posteriormente, ejecutar comandos shell automáticamente. 
Por ejemplo, si al buscar documentación para corregir un error, se encuentra un fragmento con instrucciones maliciosas para añadir un script de postinstalación en package.json, el agente podría incorporarlo y ejecutar el código dañino sin que el desarrollador intervenga directamente.
Para impedir este tipo de riesgos, la versión 0.61.0 introduce una confirmación obligatoria por parte del usuario cada vez que se detecta un cambio en estos archivos sensibles. Además, Gemini CLI realiza un seguimiento de las modificaciones durante la sesión para bloquear cualquier comando de compilación o pruebas hasta que se otorgue el permiso necesario. Estas verificaciones incluyen la presentación completa de las diferencias en los archivos, superando la limitación de mostrar solo fragmentos truncados.
Control sobre los argumentos de comandos
Otro punto crítico es la ejecución de comandos con argumentos que provienen de fuentes no confiables, como respuestas de servidores, documentos o sistemas internos de seguimiento de problemas. Ahora, Gemini CLI identifica si los flags o argumentos de un comando coinciden con datos externos y exige autorización antes de ejecutarlos.
La herramienta no permite conceder permisos permanentes para estas acciones, evitando que un consentimiento otorgado una vez permita eludir futuras advertencias. Estas medidas se aplican, sobre todo, en el modo de espacio de trabajo restringido para carpetas no marcadas como confiables, aunque no queda del todo claro cómo operan en carpetas con confianza previa o con aprobaciones automáticas.
El proceso de identificación de contenido externo se basa en la coincidencia de tokens de texto y ha requerido un desarrollo cuidadoso para evitar falsos positivos o que el sistema sea burlado mediante técnicas como el uso de comillas, prefijos en variables de entorno o redirecciones de shell.
Sandbox reforzado para proteger credenciales y configuraciones sensibles
La actualización también mejora el entorno aislado (sandbox) que ejecuta Gemini CLI para evitar que el agente tenga acceso directo a credenciales, configuraciones o llaves API presentes en el equipo anfitrión. Ya sea utilizando Docker, Podman, LXC o Seatbelt en macOS, la carpeta .gemini del usuario ya no se monta dentro del sandbox.
En su lugar, la interfaz de línea de comandos ofrece una versión depurada de la configuración sin información sensible. Además, se bloquea que el sandbox se inicie en rutas delicadas como el directorio personal, y nuevas reglas de Seatbelt impiden acceder a datos como credenciales OAuth, decisiones de carpetas confiables o archivos .env.
Este aislamiento limita lo que el agente puede obtener una vez en ejecución, aunque no elimina por completo el riesgo. Por ejemplo, un archivo package.json modificado maliciosamente dentro del sandbox permanecerá dentro del repositorio y podrá afectar a procesos de compilación o integración continua posteriores que se ejecuten fuera del entorno controlado.
Balance entre autonomía y control humano
Gemini CLI ofrece diversas opciones para que los desarrolladores regulen el grado de autonomía del agente, desde puntos de control deterministas en el flujo de trabajo hasta ajustes de confianza específicos para servidores MCP (Model Control Plane), que pueden suprimir algunas solicitudes de confirmación.
No obstante, otorgar confianza ilimitada puede volverse problemático a largo plazo. Existen precedentes de ataques donde herramientas que inicialmente eran de fiar terminan siendo manipuladas y sirven contenido atacante, lo que recalca la importancia de mantener mecanismos de supervisión y confirmación permanentes.
Con estas mejoras, Google destaca la necesidad de mantener un equilibrio entre la potencia y autonomía de los agentes de desarrollo basados en inteligencia artificial, y la protección y supervisión necesarias para evitar que esa autonomía se transforme en vectores de ataque.
