Badacze zajmujący się bezpieczeństwem wykazali, że piaskownice chroniące cztery powszechnie używane agenty kodujące AI — Cursor, Codex OpenAI, interfejs CLI Gemini firmy Google i Antigravity — można ominąć bez bezpośredniego ataku na piaskownicę. Odkrycia, opublikowane 20 lipca 2026 r. przez zespół badawczy Pillar Security i zgłoszone przez BleepingComputer, ujawniają strukturalną słabość w sposobie, w jaki narzędzia do kodowania AI izolują kod generowany przez ich agentów od maszyn programistycznych, na których działają.

Badanie to stanowi istotny punkt danych dla każdego, kto śledzi najświeższe informacje o sztucznej inteligencji na temat bezpieczeństwa agentów, ponieważ pokazuje, że nawet agent doskonale przestrzegający zasad — taki, który przestrzega wszystkich zasad w swoim piaskownicy — wciąż może się wyrwać. Wada nie leży w zachowaniu agenta, ale w granicy zaufania, jaką przyjmuje piaskownica.

Jak działają ucieczki

Kluczowe spostrzeżenie jest zwodniczo proste. Współcześni agenci kodujący AI działają w piaskownicy, która wyznacza granicę: agent jest zaufany w obszarze roboczym projektu, a host na zewnątrz jest chroniony. Zakłada się, że pliki w obszarze roboczym są obojętne — dane, a nie polecenia.

Ale nie są obojętni. Narzędzia działające poza piaskownicą stale odczytują te pliki i wykonują na nich działania. Zintegrowane środowiska programistyczne rozwiązują interpretery Pythona, integracje Git skanują repozytoria, VS Code uruchamia pliki zadań, uruchamiają polecenia silników przechwytujących, a Docker Desktop udostępnia lokalne gniazdo. Agent w trybie piaskownicy może przestrzegać każdej podanej mu reguły i nadal zapisywać plik, który później wykonuje, ładuje lub skanuje jedno z tych zewnętrznych narzędzi.

Według raportów BleepingComputer ucieczka „następuje sama”: agent pozostaje w pudełku, przestrzega wszystkich zasad i po prostu zapisuje plik, który następnie uruchamia zaufane narzędzie spoza pudełka. Agent nigdy nie wybucha; przełamanie odbywa się w jego imieniu za pomocą oprogramowania, któremu programista już ufa.

Wyzwalacz: natychmiastowy zastrzyk

Mechanizmem uruchamiającym te ucieczki jest natychmiastowe wstrzykiwanie — ta sama luka, która nęka agentów AI w różnych domenach. Złośliwa instrukcja umieszczona w pliku README, problem z GitHubem, zależność projektu lub różnica w kodzie staje się lokalną akcją na komputerze programisty po przetworzeniu jej przez agenta.

Łączy to badania piaskownicy z szerszym wzorcem bezpieczeństwa sztucznej inteligencji. Agent nie musi być zagrożony ani jailbreakowany. Musi po prostu napotkać zatrute dane wejściowe w trakcie swojej normalnej pracy — czytania pliku, przeglądania żądania ściągnięcia, instalowania pakietu — a następnie wykonać osadzoną instrukcję, zapisując właściwy plik we właściwym miejscu. Piaskownica umożliwia zapis, ponieważ zapisywanie plików jest dokładnie tym, czym powinien zajmować się agent kodujący.

„Tydzień ucieczek z piaskownicy”

Zespół badawczy Pillar Security — Eilon Cohen, Dan Lisichkin i Ariel Fogel — reprodukował obejścia przez kilka miesięcy i publikował je w formie serii, którą nazywają „Tygodniem ucieczek z piaskownicy”, publikując jeden opis dziennie. Naukowcy podzielili swoje siedem odkryć na cztery różne tryby awarii.

Jedną z kategorii są piaskownice, które określają jako listy odrzuconych — piaskownice, które próbują blokować określone niebezpieczne działania, zamiast zezwalać tylko na bezpieczne. Listy odrzuconych są niezwykle delikatne, ponieważ polegają na przewidywaniu każdego możliwego ataku, a ucieczki pokazują, w jaki sposób agent może ominąć zablokowaną akcję, korzystając z zewnętrznego narzędzia, które nigdy nie znajdowało się na liście odrzuconych.

Cztery narzędzia, których dotyczy problem – Cursor, OpenAI Codex, Google Gemini CLI i Antigravity – reprezentują szeroki przekrój rynku agentów kodujących AI, od konsumenckich wtyczek IDE po narzędzia wiersza poleceń dla przedsiębiorstw. Tak szeroki zakres sugeruje, że problemem nie jest błąd w żadnym pojedynczym produkcie, ale wspólne założenie architektoniczne, które badania unieważniają.

Dlaczego ma to znaczenie dla gospodarki agentów

Konsekwencje wykraczają poza indywidualnych programistów. Ponieważ agenci kodujący są osadzeni w zautomatyzowanych potokach, systemach ciągłej integracji i autonomicznych przepływach pracy, ucieczka z piaskownicy staje się potencjalną przystanią dla ataków na łańcuch dostaw. Osoba atakująca, która może przenieść zatruty plik do repozytorium — poprzez zależność, sklonowane repozytorium lub przejętego współautora — może przekształcić zaufanego agenta kodującego w wektor wykonawczy na komputerze programisty.

Jest to ta sama klasa ryzyka, która pojawiła się na początku 2026 r., kiedy badacze odkryli, że otwarcie złośliwego repozytorium w programie Cursor może spowodować ciche wykonanie kodu w systemie Windows. Ucieczki z piaskownicy uogólniają to zagrożenie: nie jest to jedno narzędzie ani jedna platforma, ale model interakcji między agentami w piaskownicy a otaczającymi ich zaufanymi narzędziami.

Trudny problem zaufanych plików

Podstawową trudnością jest to, że piaskownica agenta kodującego nie może traktować wszystkich plików obszaru roboczego jako niezaufanych bez ograniczania użyteczności agenta. Agent musi napisać kod, konfigurację i skrypty, a pliki te muszą zostać odczytane i wykorzystane przez narzędzia programisty. Pozbądź się tego zaufania, a agent nie będzie mógł funkcjonować; zachowaj go, a wektor ucieczki pozostanie.

Badania Pillara nie oferują pojedynczego rozwiązania problemu i między innymi dlatego jego ustalenia są tak istotne. Określają problem projektowy, który branża będzie musiała rozwiązać wspólnie — poprzez silniejszą izolację między obszarem roboczym agenta a powierzchnią wykonawczą hosta, poprzez podpisywanie lub poświadczanie plików napisanych przez agenta lub poprzez ponowne przemyślenie, które narzędzia mogą w ogóle automatycznie wykonywać zawartość obszaru roboczego.

Dla programistów korzystających obecnie z Cursor, Codex, Gemini CLI lub Antigravity praktycznym wnioskiem jest ostrożność w przypadku niezaufanych danych wejściowych: sklonowane repozytoria, zależności stron trzecich i wniesiony kod należy traktować jako potencjalnie przenoszący natychmiastową iniekcję, która jest ukierunkowana nie tylko na model, ale na otaczający go system plików.

Wyprzedź sztuczną inteligencję

Aby na bieżąco omawiać bezpieczeństwo sztucznej inteligencji, agentów kodujących i stwarzane przez nich zagrożenia dla infrastruktury, śledź nasze relacjonowanie branży sztucznej inteligencji.

Przeczytaj więcej aktualności na temat sztucznej inteligencji