Gemini CLI 安全扩展

安全扩展是一个开源的 Gemini CLI 扩展，旨在提升您代码库的安全性。该扩展为 Gemini CLI 添加了一个新命令，用于分析代码变更，以识别各种安全风险和漏洞。

功能特性

• AI 驱动的安全分析：利用 Gemini 的先进能力，提供智能且上下文感知的安全分析。
• 专注的分析：专门设计用于分析拉取请求中的代码变更，帮助在开发流程早期识别并修复漏洞。
• 开源：该扩展是开源的，并根据 Apache 2.0 许可证进行分发。
• 与 Gemini CLI 集成：作为 Google 开发的扩展，它能无缝集成到 Gemini CLI 环境中，使安全性成为您工作流中易于访问的一部分。
• 可扩展的范围：该扩展采用可扩展的架构设计，允许未来扩展检测到的安全风险以及更高级的分析技术。
• 依赖项扫描：使用 OSV-Scanner 识别影响您项目依赖项的已知漏洞。

安装

通过在终端运行以下命令来安装安全扩展 (需要 Gemini CLI v0.4.0 或更高版本)：

gemini extensions install https://github.com/gemini-cli-extensions/security

使用扩展

安全扩展为 Gemini CLI 添加了 /security:analyze 命令，该命令会分析当前分支上的代码变更，查找常见的安全漏洞，并生成由 Gemini 提供支持的智能安全报告，以提升代码库的安全态势。

重要提示：此报告仅为初步分析，并非完整的安全审计。请结合其他工具及人工审查使用。

注意：目前 /security:analyze 命令专为交互式使用而设计。对非交互式会话的支持计划在未来的版本中实现（相关进展可在 issue #20 中跟踪）。

自定义 /security:analyze 命令

默认情况下，/security:analyze 命令会使用 git diff --merge-base origin/HEAD 来确定分析范围。然而，您可以通过自然语言向命令添加指令来自定义分析范围。例如，要分析 scripts 文件夹中的所有文件，您可以运行以下命令：

/security:analyze 分析 script 文件夹下的所有源代码。跳过文档、配置文件和包文件。

若需以 JSON 格式获取安全报告，可以使用 --json 标志，或用自然语言请求 JSON 输出：

/security:analyze --json

或者：

/security:analyze 以 JSON 格式返回报告。

扫描易受攻击的依赖项

现代软件通常基于开源依赖构建，但如果这些依赖项存在漏洞，则可能带来安全风险。

定期运行依赖项扫描是确保软件供应链安全、保护项目免受已知攻击向量侵害的关键步骤。

/security:scan-deps 命令通过集成 OSV-Scanner 自动化这一过程。OSV-Scanner 是一款工具，可将您的项目依赖项与由 Google 维护的开源漏洞数据库 OSV.dev 进行交叉引用。OSV.dev 通过聚合来自广泛开源生态系统的漏洞信息，提供精确的漏洞数据，从而确保全面且可靠的安全公告。

要运行依赖项扫描，请使用以下命令：

/security:scan-deps

运行该命令后，您将收到一份报告，列出：

• 哪些依赖项存在漏洞。
• 具体漏洞的详细信息，包括其严重程度和标识符。
• 修复问题的指导建议，例如应升级到哪个版本。

GitHub 集成

我的仓库已经在使用 run-gemini-cli 工作流：

• 将您现有的 gemini-review.yml 替换为此更新的工作流，其中包含了新的安全分析步骤。

我的仓库尚未使用 run-gemini-cli 工作流：

1. 将 Gemini CLI 安全扩展集成到您的 GitHub 工作流中，以分析传入的代码：

2. 按照此快速入门中的步骤 1–3 操作。

3. 在您的仓库根目录下创建一个 .github/workflows 目录（如果尚不存在）。

4. 将此示例工作流复制到 .github/workflows 目录中。请参阅 run-gemini-cli 的配置，以便对工作流进行修改。

5. 确保将新的工作流文件提交并推送到 GitHub。

6. 打开一个新的拉取请求，或在现有 PR 上评论 @gemini-cli /review，以同时运行 Gemini CLI 代码评审和安全分析。

基准测试

为评估我们安全分析的质量和有效性，我们基于一组真实的已知漏洞数据集对该扩展进行了基准测试。

方法论

我们的评估流程旨在测试扩展识别代码变更中漏洞的能力。

1. 数据集：我们使用了 OpenSSF CVE 基准测试，该数据集包含使用 TypeScript / JavaScript 编写的实际应用程序的 GitHub 仓库。对于每个漏洞，该数据集提供了包含漏洞代码的提交（prePatch）以及修复该漏洞的提交（postPatch）。
2. 分析目标：针对每个 CVE，我们克隆了相应的仓库，在 archeogit 的帮助下找到引入漏洞的补丁，并将其应用到本地环境中。
3. 生成报告：我们在此差异上运行了 /security:analyze 命令，以生成安全报告。
4. 验证：由于数据集中的仓库数量较少，我们手动审查了所有生成的安全报告，并与真实情况对比，以计算最终的精确率和召回率。

我们目前正在积极努力自动化评估框架，并通过添加新型漏洞类别来丰富我们的数据集。

结果

我们在该数据集上的评估结果为：精确率 90%，召回率 93%。

• 精确率（90%） 衡量的是我们检测的准确性。扩展程序识别出的所有潜在漏洞中，有 90% 确实是实际的安全风险。
• 召回率（93%） 衡量的是我们覆盖的完整性。扩展程序成功识别出了数据集中所有已知漏洞中的 93%。

漏洞类型

Security 扩展会扫描文件中存在的以下漏洞：

密钥管理

• 硬编码密钥：直接嵌入在源代码中的凭据，如 API 密钥、私钥、密码和连接字符串，以及对称加密密钥。

不安全的数据处理

• 弱加密算法：使用弱或过时的加密算法，包括任何使用 DES、Triple DES、RC4 或分组密码中的 ECB 模式的情况。
• 敏感信息的日志记录：可能将密码、PII、API 密钥或会话令牌写入应用程序或系统日志的日志语句。
• 个人身份信息（PII）处理违规：不当存储、不安全传输，或任何可能违反数据隐私法规的 PII 使用行为。
• 不安全的反序列化：从不可信来源反序列化数据而未进行适当验证的代码，这可能导致攻击者执行任意代码。

注入型漏洞

• 跨站脚本攻击（XSS）：未经净化或未正确转义的用户输入直接渲染到 HTML 中，从而可能在用户的浏览器中执行脚本。
• SQL 注入（SQLi）：通过拼接原始、未参数化的用户输入来构造数据库查询。
• 命令注入：使用未经适当净化的用户输入执行系统命令或云函数的代码。
• 服务器端请求伪造（SSRF）：在未验证的情况下向用户提供的 URL 发起网络请求的代码，这可能使攻击者探测内部网络或服务。
• 服务器端模板注入（SSTI）：用户输入直接嵌入到服务器端模板中后再进行渲染的情况。

身份认证

• 认证绕过：会话验证不当、不安全的“记住我”功能，或缺乏防暴力破解保护的自定义认证端点。
• 弱或可预测的会话令牌：令牌具有可预测性、熵不足，或由用户可控的数据生成。
• 不安全的密码重置：重置令牌可预测、令牌泄露到日志或 URL 中，以及对用户身份确认不安全等情况。

LLM 安全

• 不安全的提示处理（提示注入）：分析提示的构造方式，以识别来自不可信用户数据的风险，这些风险可能导致提示注入攻击。这也可能包括将敏感信息（API 密钥、凭据、PII）直接嵌入用于生成提示的代码或提示本身中。
• 不当的输出处理：检测 LLM 生成的内容是否被不安全地使用，从而导致诸如跨站脚本攻击（XSS）、SQL 注入（SQLi）或通过 eval() 等函数远程执行代码等漏洞。同时还会标记那些基于未经验证的 LLM 输出做出安全相关决策的代码。
• 不安全的插件和工具使用：扫描 LLM 与外部工具交互过程中存在的漏洞，标记过于宽松的工具或可能被恶意输出利用的不安全数据流。

资源

• Gemini CLI 扩展：关于在 Gemini CLI 中使用扩展的文档。
• 博客文章（即将发布！）：更多关于 Security 扩展的信息。
• GitHub 问题：报告错误或请求功能。

法律声明

• 许可证：Apache License 2.0
• 安全政策：安全政策

星标历史

Gemini CLI 安全扩展快速上手指南

本指南帮助中国开发者快速安装并使用 Gemini CLI 的安全扩展，通过 AI 驱动的分析识别代码漏洞和依赖风险。

环境准备

在开始之前，请确保满足以下系统要求：

• 操作系统：支持 Linux、macOS 或 Windows。
• 前置依赖：必须已安装 Gemini CLI，且版本需为 v0.4.0 或更高。
  • 若未安装或版本过低，请先升级 Gemini CLI。
• 网络环境：需要能够访问 GitHub 以下载扩展插件。

安装步骤

打开终端（Terminal），运行以下命令即可安装安全扩展：

gemini extensions install https://github.com/gemini-cli-extensions/security

安装完成后，扩展将自动集成到 Gemini CLI 环境中。

基本使用

安装成功后，您可以使用以下两个核心命令进行安全分析。

1. 代码变更安全分析 (/security:analyze)

该命令会分析当前分支的代码变更（默认基于 git diff --merge-base origin/HEAD），识别潜在的安全漏洞并生成智能报告。

最简单用法： 在 Gemini CLI 交互界面中输入：

/security:analyze

自定义分析范围： 您可以通过自然语言指定分析特定文件夹或排除某些文件：

/security:analyze Analyze all the source code under the script folder. Skip the docs, config files and package files.

输出 JSON 格式报告：

/security:analyze --json

注意：此报告为初步分析，建议结合其他安全工具和人工审查共同使用。目前该命令主要设计用于交互式会话。

2. 依赖项漏洞扫描 (/security:scan-deps)

该命令集成 OSV-Scanner，自动扫描项目依赖库中已知的安全漏洞。

执行扫描： 在 Gemini CLI 交互界面中输入：

/security:scan-deps

执行后，系统将列出存在漏洞的依赖项、漏洞严重程度标识符以及修复建议（如升级到的目标版本）。

---

提示：您也可以将此扩展集成到 GitHub Actions 工作流中，实现 Pull Request 的自动化安全审查。