I ricercatori di sicurezza hanno dimostrato che è possibile sfuggire ai sandbox che proteggono quattro agenti di codifica AI ampiamente utilizzati – Cursor, Codex di OpenAI, Gemini CLI di Google e Antigravity – senza mai attaccare frontalmente il sandbox. I risultati, pubblicati il ​​20 luglio 2026 dal gruppo di ricerca di Pillar Security e riportati da BleepingComputer, mettono in luce una debolezza strutturale nel modo in cui gli strumenti di codifica AI isolano il codice generato dai loro agenti dalle macchine degli sviluppatori su cui girano.

La ricerca costituisce un punto dati significativo per chiunque tenga traccia delle [ultime notizie sull'intelligenza artificiale] (https://aibuzzwire.news) sulla sicurezza degli agenti, perché mostra che anche un agente perfettamente conforme, uno che obbedisce a ogni regola all'interno della sua sandbox, può ancora evadere. Il difetto non risiede nel comportamento dell'agente ma nel limite di fiducia presupposto dalla sandbox.

Come funzionano le fughe

L’intuizione chiave è ingannevolmente semplice. I moderni agenti di codifica IA vengono eseguiti all'interno di una sandbox che traccia una linea: l'agente è affidabile all'interno dell'area di lavoro del progetto e l'host all'esterno è protetto. Il presupposto è che i file all'interno dell'area di lavoro siano inerti: dati, non comandi.

Ma non sono inerti. Gli strumenti eseguiti all'esterno della sandbox leggono e agiscono costantemente su tali file. Gli ambienti di sviluppo integrati risolvono gli interpreti Python, le integrazioni Git scansionano i repository, VS Code esegue file di attività, i motori di hook attivano i comandi e Docker Desktop espone un socket locale. Un agente sandbox può obbedire a ogni regola che gli viene data e scrivere comunque un file che uno di questi strumenti esterni successivamente esegue, carica o scansiona.

Secondo il rapporto di BleepingComputer, la fuga "accade da sola": l'agente rimane all'interno della scatola, segue ogni regola e scrive semplicemente un file che successivamente viene eseguito da uno strumento fidato fuori dalla scatola. L'agente non scoppia mai; il breakout viene effettuato per suo conto da un software di cui lo sviluppatore si fida già.

Il fattore scatenante: iniezione rapida

Il meccanismo che mette in moto queste fughe è la pronta iniezione, la stessa vulnerabilità che ha afflitto gli agenti IA in tutti i domini. Un'istruzione dannosa inserita in un file README, un problema di GitHub, una dipendenza di un progetto o una differenza di codice diventa un'azione locale sul computer dello sviluppatore una volta che l'agente la elabora.

Ciò collega la ricerca sandbox a un modello più ampio nella sicurezza dell’intelligenza artificiale. Non è necessario che l'agente venga compromesso o sottoposto a jailbreak. Deve semplicemente incontrare un input avvelenato nel corso del suo normale lavoro (lettura di un file, revisione di una richiesta pull, installazione di un pacchetto) e quindi eseguire l'istruzione incorporata scrivendo il file giusto nel posto giusto. La sandbox consente la scrittura, perché scrivere file è esattamente ciò che dovrebbe fare un agente di codifica.

La "Settimana delle fughe sandbox"

Il gruppo di ricerca di Pillar Security, composto da Eilon Cohen, Dan Lisichkin e Ariel Fogel, ha riprodotto i bypass nel corso di diversi mesi e li ha pubblicati in una serie chiamata "Week of Sandbox Escapes", pubblicando un articolo al giorno. I ricercatori hanno classificato i loro sette risultati in quattro distinte modalità di fallimento.

Una categoria è quella che descrivono come sandbox della lista negata: sandbox che cercano di bloccare specifiche azioni pericolose anziché consentire solo quelle sicure. I Denylist sono notoriamente fragili perché dipendono dall'anticipazione di ogni possibile attacco, e le fughe mostrano come un agente può aggirare un'azione bloccata utilizzando uno strumento esterno che non è mai stato inserito nella lista negata.

I quattro strumenti interessati – Cursor, Codex di OpenAI, Gemini CLI di Google e Antigravity – rappresentano un ampio spaccato del mercato degli agenti di codifica AI, dai plugin IDE consumer agli strumenti a riga di comando aziendali. Questa ampiezza suggerisce che il problema non è un bug di un singolo prodotto, ma un presupposto architettonico condiviso che la ricerca invalida.

Perché questo è importante per l'economia degli agenti

Le implicazioni vanno oltre i singoli sviluppatori. Poiché gli agenti di codifica sono incorporati in pipeline automatizzate, sistemi di integrazione continua e flussi di lavoro autonomi, una fuga dalla sandbox diventa un potenziale punto d’appoggio per gli attacchi alla catena di approvvigionamento. Un utente malintenzionato che riesce a inserire un file avvelenato in un repository, tramite una dipendenza, un repository clonato o un collaboratore compromesso, può plausibilmente trasformare un agente di codifica affidabile in un vettore di esecuzione sulla macchina di uno sviluppatore.

Si tratta della stessa classe di rischio emersa all'inizio del 2026, quando i ricercatori scoprirono che l'apertura di un repository dannoso in Cursor poteva eseguire silenziosamente codice su Windows. Le fughe sandbox generalizzano questa minaccia: non si tratta di uno strumento o di una piattaforma, ma del modello di interazione tra gli agenti sandbox e gli strumenti affidabili che li circondano.

Il difficile problema dei file attendibili

La difficoltà fondamentale è che la sandbox di un agente di codifica non può trattare tutti i file dell'area di lavoro come non attendibili senza compromettere l'utilità dell'agente. L'agente deve scrivere codice, configurazione e script e tali file devono essere letti e gestiti dagli strumenti dello sviluppatore. Togli quella fiducia e l’agente non potrà più funzionare; preservalo e il vettore di fuga rimane.

La ricerca di Pillar non offre un'unica soluzione immediata e questo è uno dei motivi per cui i risultati sono importanti. Inquadrano un problema di progettazione che l'industria dovrà risolvere collettivamente, attraverso un maggiore isolamento tra lo spazio di lavoro dell'agente e la superficie di esecuzione dell'host, attraverso la firma o l'attestazione di file scritti dall'agente o ripensando a quali strumenti sono consentiti l'esecuzione automatica del contenuto dello spazio di lavoro.

Per gli sviluppatori che utilizzano Cursor, Codex, Gemini CLI o Antigravity oggi, il punto pratico è cautela con input non attendibili: repository clonati, dipendenze di terze parti e codice contribuito dovrebbero essere trattati come potenzialmente portatori di una pronta iniezione che prende di mira non solo il modello ma il filesystem attorno ad esso.

Stai al passo con l'intelligenza artificiale

Per una copertura continua sulla sicurezza dell'intelligenza artificiale, sugli agenti di codifica e sui rischi infrastrutturali che introducono, segui la nostra Copertura del settore dell'intelligenza artificiale.

Leggi altre notizie sull'AI