Cursor, Codex și Gemini CLI lovite de evadările Sandbox care ocolesc orice regulă

Cercetătorii de securitate au demonstrat că sandbox-urile care protejează patru agenți de codare AI utilizați pe scară largă - Cursor, OpenAI's Codex, Google Gemini CLI și Antigravity - pot fi scăpate fără a ataca vreodată sandbox-ul frontal. Descoperirile, publicate pe 20 iulie 2026 de echipa de cercetare a Pillar Security și raportate de BleepingComputer, dezvăluie o slăbiciune structurală în modul în care instrumentele de codare AI izolează codul pe care agenții lor îl generează de mașinile de dezvoltare pe care rulează.

Cercetarea este un punct de date semnificativ pentru oricine urmărește știrile de ultimă oră AI cu privire la siguranța agenților, deoarece arată că chiar și un agent perfect conform – unul care respectă fiecare regulă din interiorul sandbox-ului său – poate încă să izbucnească. Defectul nu este în comportamentul agentului, ci în limita de încredere pe care și-o asumă sandbox-ul.

Cum funcționează evadările

Perspectiva cheie este înșelător de simplă. Agenții moderni de codare AI rulează într-un sandbox care trage o linie: agentul este de încredere în spațiul de lucru al proiectului, iar gazda din exterior este protejată. Presupunerea este că fișierele din spațiul de lucru sunt inerte - date, nu comenzi.

Dar nu sunt inerți. Instrumentele care rulează în afara sandbox-ului citesc și acționează în mod constant asupra acelor fișiere. Mediile de dezvoltare integrate rezolvă interpreții Python, arhivele de scanare a integrărilor Git, VS Code rulează fișiere de activități, motoarele de cârlig declanșează comenzi, iar Docker Desktop expune un socket local. Un agent cu nisip poate respecta fiecare regulă care i se oferă și poate scrie în continuare un fișier pe care unul dintre acele instrumente externe îl execută, îl încarcă sau îl scanează ulterior.

Potrivit raportării BleepingComputer, evadarea „se întâmplă de la sine”: agentul rămâne în cutie, urmează fiecare regulă și doar scrie un fișier pe care ulterior îl rulează un instrument de încredere în afara casetei. Agentul nu izbucnește niciodată; spargerea este făcută în numele său de software-ul în care dezvoltatorul are deja încredere.

Declanșatorul: injectare promptă

Mecanismul care pune în mișcare aceste scăpări este injectarea promptă - aceeași vulnerabilitate care a afectat agenții AI din toate domeniile. O instrucțiune rău intenționată plasată într-un fișier README, o problemă GitHub, o dependență de proiect sau o diferență de cod devine o acțiune locală pe mașina dezvoltatorului odată ce agentul o procesează.

Acest lucru conectează cercetarea sandbox la un model mai larg de securitate AI. Agentul nu trebuie să fie compromis sau jailbreak. Trebuie pur și simplu să întâmpine o intrare otrăvită în cursul activității sale normale - citirea unui fișier, revizuirea unei cereri de extragere, instalarea unui pachet - și apoi să execute instrucțiunile încorporate scriind fișierul potrivit în locul potrivit. Cutia de nisip permite scrierea, deoarece scrierea fișierelor este exact ceea ce ar trebui să facă un agent de codare.

„Săptămâna evadărilor cu nisip”

Echipa de cercetare a Pillar Security – Eilon Cohen, Dan Lisichkin și Ariel Fogel – a reprodus ocolirile pe parcursul mai multor luni și le-a publicat sub forma unei serii pe care o numesc „Săptămâna evadărilor în sandbox”, lansând un articol pe zi. Cercetătorii și-au sortat cele șapte constatări în patru moduri distincte de eșec.

O categorie este ceea ce ei descriu ca denylist sandbox - sandbox-uri care încearcă să blocheze anumite acțiuni periculoase, mai degrabă decât să permită doar pe cele sigure. Denylistii sunt notoriu de fragili, deoarece depind de anticiparea oricărui atac posibil, iar evadările arată cum un agent poate îndrepta către o acțiune blocată prin apelarea unui instrument extern care nu a fost niciodată pe lista de denigrații.

Cele patru instrumente afectate — Cursor, Codex OpenAI, CLI Gemini de la Google și Antigravity — reprezintă o secțiune transversală largă a pieței agenților de codare AI, de la pluginuri IDE pentru consumatori la instrumente de linie de comandă pentru întreprinderi. Această amploare sugerează că problema nu este o eroare a unui singur produs, ci o presupunere arhitecturală comună pe care cercetarea o invalidează.

De ce contează asta pentru economia agenților

Implicațiile se extind dincolo de dezvoltatorii individuali. Pe măsură ce agenții de codificare sunt încorporați în conducte automate, sisteme de integrare continuă și fluxuri de lucru autonome, o evadare sandbox devine un potențial punct de sprijin pentru atacurile lanțului de aprovizionare. Un atacator care poate introduce un fișier otrăvit într-un depozit - printr-o dependență, un depozit clonat sau un contributor compromis - poate transforma un agent de codificare de încredere într-un vector de execuție pe mașina unui dezvoltator.

Aceasta este aceeași clasă de risc care a apărut la începutul anului 2026, când cercetătorii au descoperit că deschiderea unui depozit rău intenționat în Cursor ar putea executa în tăcere cod pe Windows. Evadările sandbox generalizează această amenințare: nu este un instrument sau o singură platformă, ci modelul de interacțiune dintre agenții sandbox și instrumentele de încredere care îi înconjoară.

Problema grea a fișierelor de încredere

Dificultatea fundamentală este că mediul de testare al unui agent de codare nu poate trata toate fișierele spațiului de lucru ca neîncrezători fără a afecta utilitatea agentului. Agentul trebuie să scrie cod, configurație și scripturi, iar acele fișiere trebuie citite și aplicate de instrumentele dezvoltatorului. Renunțați la această încredere și agentul nu poate funcționa; păstrați-l și vectorul de evacuare rămâne.

Cercetarea lui Pillar nu oferă o singură soluție directă și aceasta este o parte din motivul pentru care constatările contează. Ele încadrează o problemă de design pe care industria va trebui să o rezolve în mod colectiv - printr-o izolare mai puternică între spațiul de lucru al agentului și suprafața de execuție a gazdei, prin semnarea sau atestarea fișierelor scrise de agent sau prin regândirea instrumentelor care au permisiunea de a executa automat conținutul spațiului de lucru.

Pentru dezvoltatorii care folosesc Cursor, Codex, Gemini CLI sau Antigravity astăzi, concluzia practică este prudența cu intrările neîncrezătoare: depozitele clonate, dependențele de la terți și codul contribuit ar trebui tratate ca având potențial injecție promptă care vizează nu doar modelul, ci și sistemul de fișiere din jurul acestuia.

Rămâi înaintea AI

Pentru acoperirea continuă a securității AI, a agenților de codare și a riscurilor de infrastructură pe care le introduc, urmați acoperirea industriei AI.

Citiți mai multe știri AI