Les chercheurs en sécurité ont démontré que les sandbox protégeant quatre agents de codage d'IA largement utilisés – Cursor, OpenAI Codex, Gemini CLI de Google et Antigravity – peuvent être échappés sans jamais attaquer de front le sandbox. Les résultats, publiés le 20 juillet 2026 par l'équipe de recherche de Pillar Security et rapportés par BleepingComputer, révèlent une faiblesse structurelle dans la façon dont les outils de codage d'IA isolent le code généré par leurs agents des machines de développement sur lesquelles ils s'exécutent.

La recherche constitue un point de données important pour quiconque suit les dernières nouvelles de l'IA sur la sécurité des agents, car elle montre que même un agent parfaitement conforme – celui qui obéit à toutes les règles de son bac à sable – peut toujours s'en sortir. Le défaut ne réside pas dans le comportement de l'agent mais dans la limite de confiance supposée par le bac à sable.

Comment fonctionnent les évasions

L’idée clé est d’une simplicité trompeuse. Les agents de codage d'IA modernes s'exécutent dans un bac à sable qui trace une ligne : l'agent est approuvé dans l'espace de travail du projet et l'hôte à l'extérieur est protégé. L'hypothèse est que les fichiers à l'intérieur de l'espace de travail sont inertes : des données, pas des commandes.

Mais ils ne sont pas inertes. Les outils exécutés en dehors du bac à sable lisent et agissent en permanence sur ces fichiers. Les environnements de développement intégrés résolvent les interpréteurs Python, les intégrations Git analysent les référentiels, VS Code exécute les fichiers de tâches, les moteurs de hook déclenchent des commandes et Docker Desktop expose un socket local. Un agent en bac à sable peut obéir à toutes les règles qui lui sont données tout en écrivant un fichier qu'un de ces outils externes exécute, charge ou analyse ultérieurement.

Selon les rapports de BleepingComputer, l'évasion « se produit toute seule » : l'agent reste à l'intérieur de la boîte, suit toutes les règles et écrit simplement un fichier qu'un outil fiable en dehors de la boîte exécute ensuite. L'agent n'éclate jamais ; l'évasion est effectuée en son nom par un logiciel auquel le développeur fait déjà confiance.

Le déclencheur : une injection rapide

Le mécanisme qui déclenche ces évasions est l’injection rapide – la même vulnérabilité qui a tourmenté les agents d’IA dans tous les domaines. Une instruction malveillante insérée dans un fichier README, un problème GitHub, une dépendance de projet ou une différence de code devient une action locale sur la machine du développeur une fois que l'agent l'a traitée.

Cela relie la recherche sandbox à un modèle plus large en matière de sécurité de l’IA. L'agent n'a pas besoin d'être compromis ou jailbreaké. Il lui suffit de rencontrer une entrée empoisonnée au cours de son travail normal – lire un fichier, examiner une pull request, installer un package – puis d'exécuter l'instruction intégrée en écrivant le bon fichier au bon endroit. Le bac à sable permet l'écriture, car l'écriture de fichiers est exactement ce qu'un agent de codage est censé faire.

La « Semaine des évasions Sandbox »

L'équipe de recherche de Pillar Security – Eilon Cohen, Dan Lisichkin et Ariel Fogel – a reproduit les contournements sur plusieurs mois et les a publiés dans une série qu'ils appellent la « Semaine des évasions Sandbox », publiant un article par jour. Les chercheurs ont classé leurs sept résultats en quatre modes de défaillance distincts.

Une catégorie est ce qu’ils décrivent comme des bacs à sable de liste bloquée – des bacs à sable qui tentent de bloquer des actions dangereuses spécifiques plutôt que d’autoriser uniquement les actions sûres. Les listes de refus sont notoirement fragiles car elles dépendent de l'anticipation de chaque attaque possible, et les évasions montrent comment un agent peut contourner une action bloquée en faisant appel à un outil externe qui n'a jamais été sur la liste de refus en premier lieu.

Les quatre outils concernés – Cursor, Codex d'OpenAI, Gemini CLI de Google et Antigravity – représentent un large échantillon du marché des agents de codage d'IA, des plugins IDE grand public aux outils de ligne de commande d'entreprise. Cette ampleur suggère que le problème n’est pas un bug dans un seul produit mais une hypothèse architecturale partagée que la recherche invalide.

Pourquoi c'est important pour l'économie des agents

Les implications s'étendent au-delà des développeurs individuels. À mesure que les agents de codage sont intégrés dans des pipelines automatisés, des systèmes d’intégration continue et des flux de travail autonomes, une sortie de sandbox devient un point d’appui potentiel pour les attaques de la chaîne d’approvisionnement. Un attaquant qui parvient à introduire un fichier empoisonné dans un référentiel (via une dépendance, un dépôt cloné ou un contributeur compromis) peut éventuellement transformer un agent de codage fiable en vecteur d'exécution sur la machine d'un développeur.

Il s’agit de la même classe de risque qui est apparue plus tôt en 2026, lorsque les chercheurs ont découvert que l’ouverture d’un référentiel malveillant dans Cursor pouvait exécuter silencieusement du code sous Windows. Les évasions du bac à sable généralisent cette menace : il ne s'agit pas d'un outil ou d'une plate-forme unique, mais du modèle d'interaction entre les agents en bac à sable et les outils de confiance qui les entourent.

Le difficile problème des fichiers fiables

La difficulté fondamentale est que le bac à sable d'un agent de codage ne peut pas traiter tous les fichiers de l'espace de travail comme non fiables sans paralyser l'utilité de l'agent. L'agent doit écrire du code, de la configuration et des scripts, et ces fichiers doivent être lus et traités par les outils du développeur. Supprimez cette confiance et l’agent ne peut plus fonctionner ; préservez-le et le vecteur d’évasion demeure.

Les recherches de Pillar ne proposent pas de solution unique, et c'est en partie pourquoi les résultats sont importants. Ils définissent un problème de conception que l'industrie devra résoudre collectivement – ​​en renforçant l'isolement entre l'espace de travail de l'agent et la surface d'exécution de l'hôte, en signant ou en attestant les fichiers écrits par l'agent, ou en repensant quels outils sont autorisés à exécuter automatiquement le contenu de l'espace de travail.

Pour les développeurs qui utilisent Cursor, Codex, Gemini CLI ou Antigravity aujourd'hui, la règle pratique à retenir est la prudence avec les entrées non fiables : les référentiels clonés, les dépendances tierces et le code contribué doivent être traités comme potentiellement porteurs d'une injection rapide qui cible non seulement le modèle mais le système de fichiers qui l'entoure.

Gardez une longueur d'avance sur l'IA

Pour une couverture continue de la sécurité de l'IA, des agents de codage et des risques d'infrastructure qu'ils introduisent, suivez notre Couverture du secteur de l'IA.

Lire plus d'actualités sur l'IA