Los investigadores de seguridad han demostrado que se puede escapar de las zonas de pruebas que protegen cuatro agentes de codificación de IA ampliamente utilizados (Cursor, Codex de OpenAI, Gemini CLI de Google y Antigravity) sin siquiera atacar la zona de pruebas de frente. Los hallazgos, publicados el 20 de julio de 2026 por el equipo de investigación de Pillar Security y reportados por BleepingComputer, exponen una debilidad estructural en cómo las herramientas de codificación de IA aíslan el código que generan sus agentes de las máquinas de desarrollo en las que se ejecutan.
La investigación es un dato importante para cualquiera que siga las últimas noticias sobre IA sobre la seguridad de los agentes, porque muestra que incluso un agente que cumple perfectamente las normas (uno que obedece todas las reglas dentro de su entorno de pruebas) aún puede escapar. El defecto no está en el comportamiento del agente sino en el límite de confianza que asume el sandbox.
Cómo funcionan los escapes
La idea clave es engañosamente simple. Los agentes de codificación de IA modernos se ejecutan dentro de una zona de pruebas que traza una línea: se confía en el agente dentro del espacio de trabajo del proyecto y el host en el exterior está protegido. Se supone que los archivos dentro del espacio de trabajo son inertes: datos, no comandos.
Pero no son inertes. Las herramientas que se ejecutan fuera del entorno de pruebas leen y actúan constantemente sobre esos archivos. Los entornos de desarrollo integrados resuelven intérpretes de Python, las integraciones de Git escanean repositorios, VS Code ejecuta archivos de tareas, los motores de enlace activan comandos y Docker Desktop expone un socket local. Un agente en el espacio aislado puede obedecer todas las reglas que se le dan y aun así escribir un archivo que una de esas herramientas externas luego ejecuta, carga o escanea.
Según el informe de BleepingComputer, el escape "ocurre por sí solo": el agente permanece dentro de la caja, sigue todas las reglas y simplemente escribe un archivo que posteriormente ejecuta una herramienta confiable fuera de la caja. El agente nunca estalla; la ruptura se realiza en su nombre mediante software en el que el desarrollador ya confía.
El desencadenante: inyección inmediata
El mecanismo que pone en marcha estos escapes es la inyección rápida, la misma vulnerabilidad que ha afectado a los agentes de IA en todos los dominios. Una instrucción maliciosa colocada en un archivo README, un problema de GitHub, una dependencia de un proyecto o una diferencia de código se convierte en una acción local en la máquina del desarrollador una vez que el agente la procesa.
Esto conecta la investigación del sandbox con un patrón más amplio en la seguridad de la IA. No es necesario que el agente esté comprometido ni liberado. Simplemente necesita encontrar una entrada envenenada en el curso de su trabajo normal (leer un archivo, revisar una solicitud de extracción, instalar un paquete) y luego llevar a cabo las instrucciones incorporadas escribiendo el archivo correcto en el lugar correcto. La zona de pruebas permite la escritura, porque escribir archivos es exactamente lo que se supone que debe hacer un agente de codificación.
La 'Semana de las escapadas del Sandbox'
El equipo de investigación de Pillar Security (Eilon Cohen, Dan Lisichkin y Ariel Fogel) reprodujeron los desvíos durante varios meses y los publicaron como una serie que llamaron "Semana de escapes de Sandbox", publicando un artículo por día. Los investigadores clasificaron sus siete hallazgos en cuatro modos de falla distintos.
Una categoría es lo que describen como entornos sandbox de lista de denegados: entornos sandbox que intentan bloquear acciones peligrosas específicas en lugar de permitir sólo las seguras. Las listas de negados son notoriamente frágiles porque dependen de anticipar cada posible ataque, y los escapes muestran cómo un agente puede sortear una acción bloqueada alistando una herramienta externa que nunca estuvo en la lista de negados en primer lugar.
Las cuatro herramientas afectadas (Cursor, Codex de OpenAI, Gemini CLI de Google y Antigravity) representan una amplia sección representativa del mercado de agentes de codificación de IA, desde complementos IDE de consumo hasta herramientas de línea de comandos empresariales. Esa amplitud sugiere que el problema no es un error en un solo producto, sino una suposición arquitectónica compartida que la investigación invalida.
Por qué esto es importante para la economía de los agentes
Las implicaciones se extienden más allá de los desarrolladores individuales. A medida que los agentes de codificación se integran en procesos automatizados, sistemas de integración continua y flujos de trabajo autónomos, un escape de la zona de pruebas se convierte en un punto de apoyo potencial para los ataques a la cadena de suministro. Un atacante que pueda introducir un archivo envenenado en un repositorio (a través de una dependencia, un repositorio clonado o un colaborador comprometido) posiblemente pueda convertir un agente de codificación confiable en un vector de ejecución en la máquina de un desarrollador.
Esta es la misma clase de riesgo que surgió a principios de 2026, cuando los investigadores descubrieron que abrir un repositorio malicioso en Cursor podría ejecutar código silenciosamente en Windows. Los escapes del sandbox generalizan esa amenaza: no se trata de una herramienta o una plataforma, sino del modelo de interacción entre los agentes del sandbox y las herramientas confiables que los rodean.
El difícil problema de los archivos confiables
La dificultad fundamental es que el entorno limitado de un agente de codificación no puede tratar todos los archivos del espacio de trabajo como no confiables sin perjudicar la utilidad del agente. El agente necesita escribir código, configuración y scripts, y las herramientas del desarrollador deben leer y actuar sobre esos archivos. Si se elimina esa confianza, el agente no podrá funcionar; consérvelo y el vector de escape permanecerá.
La investigación de Pillar no ofrece una solución inmediata, y esa es parte de la razón por la que los hallazgos son importantes. Enmarcan un problema de diseño que la industria tendrá que resolver colectivamente: a través de un aislamiento más fuerte entre el espacio de trabajo del agente y la superficie de ejecución del host, mediante la firma o certificación de archivos escritos por el agente, o repensando qué herramientas tienen permiso para ejecutar automáticamente el contenido del espacio de trabajo.
Para los desarrolladores que utilizan Cursor, Codex, Gemini CLI o Antigravity hoy en día, la conclusión práctica es tener precaución con las entradas que no son de confianza: los repositorios clonados, las dependencias de terceros y el código contribuido deben tratarse como si pudieran contener una inyección rápida que apunta no solo al modelo sino al sistema de archivos que lo rodea.
Manténgase por delante de la IA
Para obtener una cobertura continua sobre la seguridad de la IA, los agentes de codificación y los riesgos de infraestructura que introducen, siga nuestra cobertura de la industria de la IA.
Leer más noticias sobre IA
