Beveiligingsonderzoekers hebben aangetoond dat de sandboxes die vier veelgebruikte AI-codeermiddelen beschermen – Cursor, OpenAI's Codex, Google's Gemini CLI en Antigravity – kunnen worden ontsnapt zonder ooit de sandbox frontaal aan te vallen. De bevindingen, gepubliceerd op 20 juli 2026 door het onderzoeksteam van Pillar Security en gerapporteerd door BleepingComputer, leggen een structurele zwakte bloot in de manier waarop AI-coderingstools de code isoleren die hun agenten genereren van de ontwikkelaarsmachines waarop ze draaien.
Het onderzoek is een belangrijk datapunt voor iedereen die breaking AI news over de veiligheid van agenten volgt, omdat het aantoont dat zelfs een agent die zich perfect aan de regels houdt (een agent die zich aan alle regels in zijn sandbox houdt) nog steeds kan uitbreken. De fout zit niet in het gedrag van de agent, maar in de vertrouwensgrens die de sandbox aanneemt.
Hoe de ontsnappingen werken
Het belangrijkste inzicht is bedrieglijk eenvoudig. Moderne AI-codeeragenten draaien in een sandbox die een lijn trekt: de agent wordt vertrouwd binnen de projectwerkruimte en de host daarbuiten wordt beschermd. De veronderstelling is dat bestanden in de werkruimte inert zijn: gegevens, geen opdrachten.
Maar ze zijn niet inert. Tools die buiten de sandbox draaien, lezen voortdurend die bestanden en handelen ernaar. Geïntegreerde ontwikkelomgevingen lossen Python-interpreters op, Git-integraties scannen opslagplaatsen, VS Code voert taakbestanden uit, hook-engines vuren opdrachten af en Docker Desktop stelt een lokale socket bloot. Een agent in een sandbox kan elke gegeven regel gehoorzamen en toch een bestand schrijven dat een van die externe tools later uitvoert, laadt of scant.
Volgens de rapportage van BleepingComputer gebeurt de ontsnapping "vanzelf": de agent blijft binnen de box, volgt elke regel en schrijft gewoon een bestand dat vervolgens door een vertrouwde tool buiten de box wordt uitgevoerd. De agent breekt nooit uit; de uitbraak wordt namens hem gedaan door software die de ontwikkelaar al vertrouwt.
De trigger: snelle injectie
Het mechanisme dat deze ontsnappingen in gang zet is snelle injectie – dezelfde kwetsbaarheid die AI-agenten in alle domeinen heeft geplaagd. Een kwaadaardige instructie die in een README-bestand is geplaatst, een GitHub-probleem, een projectafhankelijkheid of een code-diff wordt een lokale actie op de machine van de ontwikkelaar zodra de agent deze verwerkt.
Dit verbindt het sandbox-onderzoek met een breder patroon in AI-beveiliging. De agent hoeft niet gecompromitteerd of gejailbreakt te zijn. Het hoeft alleen maar een vergiftigde invoer tegen te komen tijdens zijn normale werk (een bestand lezen, een pull-verzoek beoordelen, een pakket installeren) en vervolgens de ingebedde instructie uitvoeren door het juiste bestand op de juiste plaats te schrijven. De sandbox maakt het schrijven mogelijk, omdat het schrijven van bestanden precies is wat een codeeragent zou moeten doen.
De 'Week van Sandbox-ontsnappingen'
Het onderzoeksteam van Pillar Security – Eilon Cohen, Dan Lisichkin en Ariel Fogel – reproduceerde de bypasses gedurende een aantal maanden en publiceerde ze als een serie die zij de ‘Week van Sandbox Escapes’ noemden, waarbij één artikel per dag werd gepubliceerd. De onderzoekers sorteerden hun zeven bevindingen in vier verschillende faalmodi.
Eén categorie is wat zij omschrijven als denylist-sandboxen: sandboxen die specifieke gevaarlijke acties proberen te blokkeren in plaats van alleen veilige acties toe te staan. Denylists zijn notoir kwetsbaar omdat ze afhankelijk zijn van het anticiperen op elke mogelijke aanval, en de ontsnappingen laten zien hoe een agent een geblokkeerde actie kan omzeilen door een externe tool in te schakelen die überhaupt nooit op de denylist heeft gestaan.
De vier getroffen tools – Cursor, OpenAI's Codex, Google's Gemini CLI en Antigravity – vertegenwoordigen een brede dwarsdoorsnede van de markt voor AI-codeeragenten, van IDE-plug-ins voor consumenten tot opdrachtregelprogramma's voor bedrijven. Die reikwijdte suggereert dat het probleem geen bug in een enkel product is, maar een gedeelde architectonische veronderstelling die door het onderzoek wordt ontkracht.
Waarom dit belangrijk is voor de agenteneconomie
De implicaties reiken verder dan individuele ontwikkelaars. Naarmate codeeragenten worden ingebed in geautomatiseerde pijplijnen, continue integratiesystemen en autonome workflows, wordt een sandbox-ontsnapping een potentiële steunpilaar voor supply chain-aanvallen. Een aanvaller die een vergiftigd bestand in een opslagplaats kan krijgen – via een afhankelijkheid, een gekloonde opslagplaats of een gecompromitteerde bijdrager – kan mogelijk een vertrouwde codeeragent veranderen in een uitvoeringsvector op de machine van een ontwikkelaar.
Dit is dezelfde risicocategorie die eerder in 2026 aan het licht kwam, toen onderzoekers ontdekten dat het openen van een kwaadaardige repository in Cursor in stilte code op Windows kon uitvoeren. De sandbox-ontsnappingen generaliseren die dreiging: het is niet één tool of één platform, maar het interactiemodel tussen agenten in de sandbox en de vertrouwde tools die hen omringen.
Het moeilijke probleem van vertrouwde bestanden
De fundamentele moeilijkheid is dat de sandbox van een codeeragent niet alle bestanden in de werkruimte als onbetrouwbaar kan behandelen zonder dat dit de bruikbaarheid van de agent verlamt. De agent moet code, configuratie en scripts schrijven, en die bestanden moeten worden gelezen en verwerkt door de tools van de ontwikkelaar. Haal dat vertrouwen weg en de agent kan niet meer functioneren; bewaar het en de ontsnappingsvector blijft bestaan.
Het onderzoek van Pillar biedt geen enkele kant-en-klare oplossing, en dat is een van de redenen waarom de bevindingen ertoe doen. Ze schetsen een ontwerpprobleem dat de industrie collectief zal moeten oplossen – door een sterkere isolatie tussen de werkruimte van de agent en het uitvoeringsoppervlak van de host, door het ondertekenen of attesteren van door de agent geschreven bestanden, of door opnieuw na te denken over welke tools überhaupt de inhoud van de werkruimte automatisch mogen uitvoeren.
Voor ontwikkelaars die tegenwoordig Cursor, Codex, Gemini CLI of Antigravity gebruiken, is de praktische boodschap voorzichtigheid met niet-vertrouwde invoer: gekloonde opslagplaatsen, afhankelijkheden van derden en bijgedragen code moeten worden behandeld als potentieel snelle injecties die zich niet alleen op het model richten, maar ook op het bestandssysteem eromheen.
Blijf AI een stap voor
Voor voortdurende berichtgeving over AI-beveiliging, codeeragenten en de infrastructuurrisico's die ze met zich meebrengen, volgt u onze dekking van de AI-industrie.
Lees meer AI-nieuws
