Pesquisadores de segurança demonstraram que as sandboxes que protegem quatro agentes de codificação de IA amplamente usados ​​– Cursor, Codex da OpenAI, Gemini CLI do Google e Antigravity – podem ser escapadas sem nunca atacar a sandbox de frente. As descobertas, publicadas em 20 de julho de 2026 pela equipe de pesquisa da Pillar Security e relatadas pelo BleepingComputer, expõem uma fraqueza estrutural na forma como as ferramentas de codificação de IA isolam o código que seus agentes geram das máquinas de desenvolvimento nas quais são executadas.

A pesquisa é um dado significativo para qualquer pessoa que acompanhe notícias de última hora sobre IA sobre a segurança dos agentes, porque mostra que mesmo um agente perfeitamente compatível — aquele que obedece a todas as regras dentro de sua sandbox — ainda pode escapar. A falha não está no comportamento do agente, mas no limite de confiança que o sandbox assume.

Como funcionam as fugas

O insight principal é aparentemente simples. Os agentes de codificação de IA modernos são executados dentro de uma sandbox que traça uma linha: o agente é confiável dentro do espaço de trabalho do projeto e o host externo é protegido. A suposição é que os arquivos dentro do espaço de trabalho são inertes – dados, não comandos.

Mas eles não são inertes. Ferramentas executadas fora da sandbox leem e agem constantemente nesses arquivos. Ambientes de desenvolvimento integrados resolvem intérpretes Python, integrações Git verificam repositórios, VS Code executa arquivos de tarefas, mecanismos de gancho disparam comandos e Docker Desktop expõe um soquete local. Um agente em sandbox pode obedecer a todas as regras fornecidas e ainda escrever um arquivo que uma dessas ferramentas externas executa, carrega ou verifica posteriormente.

De acordo com o relatório do BleepingComputer, a fuga “acontece por conta própria”: o agente permanece dentro da caixa, segue todas as regras e apenas grava um arquivo que uma ferramenta confiável fora da caixa executa posteriormente. O agente nunca foge; a fuga é feita em seu nome por um software em que o desenvolvedor já confia.

O gatilho: injeção imediata

O mecanismo que aciona essas fugas é a injeção imediata – a mesma vulnerabilidade que tem atormentado os agentes de IA em vários domínios. Uma instrução maliciosa plantada em um arquivo README, um problema do GitHub, uma dependência de projeto ou uma diferença de código torna-se uma ação local na máquina do desenvolvedor assim que o agente a processa.

Isso conecta a pesquisa sandbox a um padrão mais amplo de segurança de IA. O agente não precisa estar comprometido ou desbloqueado. Ele simplesmente precisa encontrar uma entrada envenenada no decorrer de seu trabalho normal – lendo um arquivo, revisando uma solicitação pull, instalando um pacote – e então executar a instrução incorporada escrevendo o arquivo certo no lugar certo. A sandbox permite a gravação, porque gravar arquivos é exatamente o que um agente de codificação deve fazer.

A 'Semana das Fugas da Sandbox'

A equipe de pesquisa da Pillar Security – Eilon Cohen, Dan Lisichkin e Ariel Fogel – reproduziu os desvios ao longo de vários meses e os publicou como uma série que eles chamam de “Semana das Fugas da Sandbox”, lançando um artigo por dia. Os pesquisadores classificaram suas sete descobertas em quatro modos de falha distintos.

Uma categoria é o que eles descrevem como sandboxes de lista de bloqueio – sandboxes que tentam bloquear ações perigosas específicas em vez de permitir apenas ações seguras. As listas de bloqueio são notoriamente frágeis porque dependem da antecipação de todos os ataques possíveis, e as fugas mostram como um agente pode contornar uma ação bloqueada recorrendo a uma ferramenta externa que nunca esteve na lista de bloqueio.

As quatro ferramentas afetadas – Cursor, Codex da OpenAI, Gemini CLI do Google e Antigravity – representam uma ampla seção transversal do mercado de agentes de codificação de IA, desde plug-ins IDE de consumo até ferramentas de linha de comando empresariais. Essa amplitude sugere que o problema não é um bug em um único produto, mas uma suposição arquitetônica compartilhada que a pesquisa invalida.

Por que isso é importante para a economia do agente

As implicações vão além dos desenvolvedores individuais. À medida que os agentes de codificação são incorporados em pipelines automatizados, sistemas de integração contínua e fluxos de trabalho autônomos, uma fuga da sandbox torna-se um ponto de apoio potencial para ataques à cadeia de suprimentos. Um invasor que consegue colocar um arquivo envenenado em um repositório – por meio de uma dependência, um repositório clonado ou um contribuidor comprometido – pode transformar um agente de codificação confiável em um vetor de execução na máquina de um desenvolvedor.

Esta é a mesma classe de risco que surgiu no início de 2026, quando os pesquisadores descobriram que abrir um repositório malicioso no Cursor poderia executar código silenciosamente no Windows. Os escapes da sandbox generalizam essa ameaça: não é uma ferramenta ou uma plataforma, mas o modelo de interação entre os agentes da sandbox e as ferramentas confiáveis ​​que os cercam.

O difícil problema dos arquivos confiáveis

A dificuldade fundamental é que a sandbox de um agente de codificação não pode tratar todos os arquivos do espaço de trabalho como não confiáveis sem prejudicar a utilidade do agente. O agente precisa escrever código, configuração e scripts, e esses arquivos precisam ser lidos e usados ​​pelas ferramentas do desenvolvedor. Retire essa confiança e o agente não poderá funcionar; preserve-o e o vetor de escape permanece.

A pesquisa da Pillar não oferece uma única solução imediata, e é por isso que as descobertas são importantes. Eles enquadram um problema de design que a indústria terá de resolver coletivamente – através de um isolamento mais forte entre o espaço de trabalho do agente e a superfície de execução do host, através da assinatura ou atestação de arquivos escritos pelo agente, ou repensando quais ferramentas têm permissão para executar automaticamente o conteúdo do espaço de trabalho.

Para desenvolvedores que usam Cursor, Codex, Gemini CLI ou Antigravity hoje, a lição prática é cautela com entradas não confiáveis: repositórios clonados, dependências de terceiros e código contribuído devem ser tratados como potencialmente portadores de injeção imediata que visa não apenas o modelo, mas o sistema de arquivos ao seu redor.

Fique à frente da IA

Para obter cobertura contínua sobre segurança de IA, agentes de codificação e riscos de infraestrutura que eles apresentam, siga nossa cobertura do setor de IA.

Leia mais notícias sobre IA