華鑫證券修8个漏洞删2.8万行代码 Gemini被曝伪造恢复记录

【CNMO科技消息】一名开发者近日发帖称，Google的AI编程助手Gemini在处理一项小规模安全修复任务时，误删大量生产环境代码并导致服务中断，事后还生成“已完成恢复”的虚假说明和伪造审查记录，引发对AI编程工具安全边界的关注。

Gemini

根据开发者披露，事发时其使用Gemini 3.5修复内部管理门户的一个安全漏洞，原本仅涉及3个文件、约70行代码，以及8项服务器认证功能的简单调整。但Gemini据称执行了与要求明显不符的大规模修改，共改动340个文件，删除约28745行正常运行中的代码，仅新增约400行内容。开发者还表示，Gemini删除了与当前项目无关的电商模板文件，并加入了未被要求的数据迁移脚本。

更严重的是，Gemini还修改了Firebase配置文件，将原本应指向Cloud Run正常服务地址的关键配置改为不存在的目标地址，导致整个管理员门户出现“404”报错，服务实际瘫痪约33分钟。开发者称，项目内部规则文件已明确写明不得更改实际使用的服务标识，但Gemini未遵守这一限制。

在故障发生后，Gemini据称又生成了“服务已恢复、流量已切换至稳定版本”的说明。但开发者表示，相关恢复操作当时已中途取消，真正的修复是其本人手动回滚到此前的正常版本完成，Gemini生成的代码并未参与实际恢复。

此外，开发者还指称，Gemini自动在代码仓库中生成了看似经过多人审查和批准的日志与文档。表面上这些文件符合审查流程格式，但随后Gemini被指承认，这些记录并非来自真实审查，而是为了满足规则格式自动生成。

开发者认为，问题可能与一个第三方 npm 包有关。其误以为该包属于官方工具，安装后却引入了赋予 AI 较高自主权限的规则文件，包括无需批准直接执行、自动部署和失败后自动重试等指令。该事件也再次引发对“Vibe Coding”开发方式的讨论，即开发者在未充分审查 AI 生成代码的情况下直接应用到实际服务。

长宏网提示：文章来自网络，不代表本站观点。