Sicherheitsforscher haben gezeigt, dass die Sandboxen, die vier weit verbreitete KI-Codierungsagenten schützen – Cursor, Codex von OpenAI, Gemini CLI von Google und Antigravity – entkommen werden können, ohne die Sandbox jemals frontal anzugreifen. Die Ergebnisse, die am 20. Juli 2026 vom Forschungsteam von Pillar Security veröffentlicht und von BleepingComputer gemeldet wurden, offenbaren eine strukturelle Schwäche in der Art und Weise, wie KI-Codierungstools den Code, den ihre Agenten generieren, von den Entwicklermaschinen isolieren, auf denen sie laufen.

Die Untersuchung ist ein wichtiger Datenpunkt für jeden, der [aktuelle KI-Nachrichten] (https://aibuzzwire.news) zur Agentensicherheit verfolgt, denn sie zeigt, dass selbst ein vollkommen konformer Agent – ​​einer, der alle Regeln in seiner Sandbox befolgt – immer noch ausbrechen kann. Der Fehler liegt nicht im Verhalten des Agenten, sondern in der Vertrauensgrenze, die die Sandbox annimmt.

So funktionieren die Escapes

Die entscheidende Erkenntnis ist täuschend einfach. Moderne KI-Programmierungsagenten laufen in einer Sandbox, die eine Grenze zieht: Der Agent ist innerhalb des Projektarbeitsbereichs vertrauenswürdig und der Host außerhalb ist geschützt. Es wird davon ausgegangen, dass Dateien im Arbeitsbereich inert sind – Daten, keine Befehle.

Aber sie sind nicht träge. Tools, die außerhalb der Sandbox ausgeführt werden, lesen diese Dateien ständig und reagieren auf sie. Integrierte Entwicklungsumgebungen lösen Python-Interpreter auf, Git-Integrationen scannen Repositorys, VS Code führt Aufgabendateien aus, Hook-Engines lösen Befehle aus und Docker Desktop stellt einen lokalen Socket bereit. Ein Sandbox-Agent kann jede ihm gegebene Regel befolgen und trotzdem eine Datei schreiben, die eines dieser externen Tools später ausführt, lädt oder scannt.

Dem Bericht von BleepingComputer zufolge geschieht die Flucht „von selbst“: Der Agent bleibt innerhalb der Box, befolgt alle Regeln und schreibt einfach eine Datei, die anschließend von einem vertrauenswürdigen Tool außerhalb der Box ausgeführt wird. Der Agent bricht nie aus; Der Ausbruch erfolgt in seinem Namen durch Software, der der Entwickler bereits vertraut.

Der Auslöser: Sofortige Injektion

Der Mechanismus, der diese Fluchtversuche in Gang setzt, ist die sofortige Injektion – dieselbe Schwachstelle, die KI-Agenten in allen Domänen geplagt hat. Eine böswillige Anweisung, die in eine README-Datei, ein GitHub-Problem, eine Projektabhängigkeit oder einen Codeunterschied eingeschleust wird, wird zu einer lokalen Aktion auf dem Computer des Entwicklers, sobald der Agent sie verarbeitet.

Dies verbindet die Sandbox-Forschung mit einem umfassenderen Muster der KI-Sicherheit. Der Agent muss weder kompromittiert noch gejailbreakt sein. Es muss lediglich im Verlauf seiner normalen Arbeit – Lesen einer Datei, Überprüfen einer Pull-Anfrage, Installieren eines Pakets – auf eine vergiftete Eingabe stoßen und dann die eingebettete Anweisung ausführen, indem es die richtige Datei an die richtige Stelle schreibt. Die Sandbox ermöglicht das Schreiben, da das Schreiben von Dateien genau das ist, was ein Coding-Agent tun soll.

Die „Woche der Sandbox-Flucht“

Das Forschungsteam von Pillar Security – Eilon Cohen, Dan Lisichkin und Ariel Fogel – reproduzierte die Umgehungen über mehrere Monate hinweg und veröffentlichte sie als eine Serie, die sie „Woche der Sandbox-Flucht“ nannten, wobei täglich ein Artikel veröffentlicht wurde. Die Forscher sortierten ihre sieben Ergebnisse in vier verschiedene Fehlermodi.

Eine Kategorie sind sogenannte Denylist-Sandboxen – Sandboxen, die versuchen, bestimmte gefährliche Aktionen zu blockieren, anstatt nur sichere Aktionen zuzulassen. Sperrlisten sind bekanntermaßen anfällig, weil sie darauf angewiesen sind, jeden möglichen Angriff zu antizipieren, und die Escapes zeigen, wie ein Agent eine blockierte Aktion umgehen kann, indem er ein externes Tool einsetzt, das überhaupt nicht auf der Sperrliste stand.

Die vier betroffenen Tools – Cursor, Codex von OpenAI, Gemini CLI von Google und Antigravity – repräsentieren einen breiten Querschnitt des Marktes für KI-Codierungsagenten, von IDE-Plugins für Verbraucher bis hin zu Befehlszeilentools für Unternehmen. Diese Breite legt nahe, dass es sich bei dem Problem nicht um einen Fehler in einem einzelnen Produkt handelt, sondern um eine gemeinsame architektonische Annahme, die durch die Forschung widerlegt wird.

Warum dies für die Agentenökonomie wichtig ist

Die Auswirkungen gehen über einzelne Entwickler hinaus. Da Codierungsagenten in automatisierte Pipelines, kontinuierliche Integrationssysteme und autonome Arbeitsabläufe eingebettet sind, wird ein Sandbox-Ausbruch zu einem potenziellen Angriffspunkt für Angriffe auf die Lieferkette. Ein Angreifer, der eine vergiftete Datei in ein Repository gelangen kann – über eine Abhängigkeit, ein geklontes Repo oder einen kompromittierten Mitwirkenden – kann möglicherweise einen vertrauenswürdigen Codierungsagenten in einen Ausführungsvektor auf dem Computer eines Entwicklers verwandeln.

Dabei handelt es sich um die gleiche Risikoklasse, die Anfang 2026 auftauchte, als Forscher herausfanden, dass das Öffnen eines bösartigen Repositorys in Cursor unbemerkt Code unter Windows ausführen konnte. Die Sandbox-Escapes verallgemeinern diese Bedrohung: Es handelt sich nicht um ein Tool oder eine Plattform, sondern um das Interaktionsmodell zwischen Sandbox-Agenten und den vertrauenswürdigen Tools, die sie umgeben.

Das schwierige Problem vertrauenswürdiger Dateien

Die grundlegende Schwierigkeit besteht darin, dass die Sandbox eines Codierungsagenten nicht alle Arbeitsbereichsdateien als nicht vertrauenswürdig behandeln kann, ohne die Nützlichkeit des Agenten zu beeinträchtigen. Der Agent muss Code, Konfiguration und Skripte schreiben, und diese Dateien müssen von den Entwicklertools gelesen und bearbeitet werden. Entzieht man dieses Vertrauen, kann der Agent nicht mehr funktionieren. Behalten Sie es bei und der Escape-Vektor bleibt erhalten.

Die Forschung von Pillar bietet keine einzige Lösung, und das ist einer der Gründe, warum die Ergebnisse wichtig sind. Sie stellen ein Designproblem dar, das die Branche gemeinsam lösen muss – durch eine stärkere Isolierung zwischen dem Arbeitsbereich des Agenten und der Ausführungsoberfläche des Hosts, durch Signieren oder Bescheinigen von vom Agenten geschriebenen Dateien oder durch ein Überdenken, welche Tools überhaupt zur automatischen Ausführung von Arbeitsbereichsinhalten berechtigt sind.

Für Entwickler, die heute Cursor, Codex, Gemini CLI oder Antigravity verwenden, besteht die praktische Erkenntnis darin, bei nicht vertrauenswürdigen Eingaben Vorsicht walten zu lassen: Geklonte Repositorys, Abhängigkeiten von Drittanbietern und beigesteuerter Code sollten so behandelt werden, als ob sie potenziell eine Prompt-Injection enthalten, die nicht nur auf das Modell, sondern auch auf das Dateisystem um sie herum abzielt.

Bleiben Sie der KI immer einen Schritt voraus

Für eine fortlaufende Berichterstattung über KI-Sicherheit, Coding-Agents und die damit verbundenen Infrastrukturrisiken folgen Sie unserer KI-Branchenberichterstattung.

Weitere KI-Neuigkeiten lesen