Google corrige una vulnerabilidad en Antigravity IDE que permitía ejecutar código malicioso
Recientemente, investigadores de seguridad cibernética descubrieron una vulnerabilidad en el entorno de desarrollo integrado (IDE) de Google, llamado Antigravity. Esta falla permitía a atacantes ejecutar código malicioso, lo que representa un riesgo significativo para los usuarios que utilizan esta herramienta. La vulnerabilidad fue corregida por Google después de su divulgación responsable el 7 de enero de 2026.
Cómo funciona el ataque
El ataque se basa en una combinación de características de Antigravity que no validaban correctamente las entradas de los usuarios, junto con su capacidad de crear archivos. El investigador Dan Lisichkin de Pillar Security explicó que un atacante podría inyectar un comando malicioso a través de una función llamada find_by_name, que busca archivos. Esto permitiría ejecutar comandos arbitrarios sin interacción adicional del usuario.
- Un atacante puede inyectar el comando -X (exec-batch) para ejecutar binarios en archivos de trabajo.
- Esto se puede lograr manipulando el parámetro de búsqueda en la función find_by_name.
- Una vez que el código malicioso se inyecta, se puede activar mediante una búsqueda aparentemente legítima.
A quién afecta
La falla afecta a los usuarios de Antigravity, en particular a aquellos que confían en su capacidad para gestionar y ejecutar proyectos de programación. Además, este tipo de vulnerabilidades pueden ser una amenaza para cualquier herramienta de inteligencia artificial (IA) que procese entradas no confiables, como se ha visto en otros casos recientes con herramientas de desarrollo como GitHub Copilot y otros sistemas de IA.
Qué significa esto para ti
Para los usuarios y empresas que utilizan Antigravity o herramientas similares, es fundamental mantenerse informados sobre actualizaciones de seguridad y aplicar parches tan pronto como estén disponibles. Esta vulnerabilidad destaca la importancia de validar adecuadamente la entrada de los usuarios y la necesidad de una vigilancia continua en el uso de herramientas de desarrollo automatizadas.
