Säkerhetsforskare har visat att sandlådorna som skyddar fyra allmänt använda AI-kodningsagenter – Cursor, OpenAIs Codex, Googles Gemini CLI och Antigravity – kan undkomma utan att någonsin attackera sandlådan direkt. Resultaten, publicerade den 20 juli 2026, av Pillar Securitys forskargrupp och rapporterade av BleepingComputer, avslöjar en strukturell svaghet i hur AI-kodningsverktyg isolerar koden som deras agenter genererar från utvecklarmaskinerna de kör på.

Forskningen är en viktig datapunkt för alla som spårar bristande AI-nyheter om agentsäkerhet, eftersom den visar att även en perfekt kompatibel agent – ​​en som följer alla regler i sin sandlåda – fortfarande kan bryta ut. Felet ligger inte i agentens beteende utan i den förtroendegräns som sandlådan antar.

Hur rymningarna fungerar

Nyckelinsikten är bedrägligt enkel. Moderna AI-kodningsagenter körs inuti en sandlåda som drar en linje: agenten är betrodd i projektets arbetsyta och värden utanför är skyddad. Antagandet är att filer i arbetsytan är inerta - data, inte kommandon.

Men de är inte inerta. Verktyg som körs utanför sandlådan läser och agerar ständigt på dessa filer. Integrerade utvecklingsmiljöer löser Python-tolkar, Git-integrationer skannar arkiv, VS Code kör uppgiftsfiler, haka motorer avfyrar kommandon och Docker Desktop exponerar en lokal socket. En agent i sandlåde kan följa varje regel den ges och fortfarande skriva en fil som ett av dessa externa verktyg senare kör, laddar eller skannar.

Enligt BleepingComputers rapportering, "händer flykten av sig själv": agenten stannar i rutan, följer varje regel och skriver bara en fil som ett betrodd verktyg utanför lådan sedan kör. Agenten bryter aldrig ut; utbrottet görs på dess vägnar av programvara som utvecklaren redan litar på.

Utlösaren: Snabb injektion

Mekanismen som sätter igång dessa flykter är snabb injektion – samma sårbarhet som har plågat AI-agenter över olika domäner. En skadlig instruktion planterad i en README-fil, ett GitHub-problem, ett projektberoende eller en koddiff blir en lokal åtgärd på utvecklarens dator när agenten bearbetar den.

Detta kopplar sandlådeforskningen till ett bredare mönster inom AI-säkerhet. Agenten behöver inte vara komprometterad eller jailbreakad. Den behöver helt enkelt stöta på en förgiftad ingång under sitt normala arbete - läsa en fil, granska en pull-begäran, installera ett paket - och sedan utföra den inbäddade instruktionen genom att skriva rätt fil på rätt plats. Sandlådan tillåter skrivning, eftersom att skriva filer är precis vad en kodningsagent ska göra.

"Veckan av sandlådeflykter"

Pillar Securitys forskargrupp - Eilon Cohen, Dan Lisichkin och Ariel Fogel - reproducerade förbikopplingarna under flera månader och publicerade dem som en serie som de kallar "Week of Sandbox Escapes", och släppte en artikel per dag. Forskarna sorterade sina sju resultat i fyra distinkta fellägen.

En kategori är vad de beskriver som denylist-sandlådor - sandlådor som försöker blockera specifika farliga handlingar snarare än att endast tillåta säkra. Denylister är notoriskt ömtåliga eftersom de är beroende av att förutse alla möjliga attacker, och rymningarna visar hur en agent kan ta sig runt en blockerad handling genom att anlita ett externt verktyg som aldrig fanns på denylistan i första hand.

De fyra berörda verktygen – Cursor, OpenAIs Codex, Googles Gemini CLI och Antigravity – representerar ett brett tvärsnitt av marknaden för AI-kodningsagenter, från konsument-IDE-plugins till företagskommandoradsverktyg. Denna bredd antyder att problemet inte är en bugg i någon enskild produkt utan ett delat arkitektoniskt antagande som forskningen ogiltigförklarar.

Varför detta är viktigt för agentekonomin

Konsekvenserna sträcker sig bortom enskilda utvecklare. Eftersom kodningsagenter är inbäddade i automatiserade pipelines, kontinuerliga integrationssystem och autonoma arbetsflöden, blir en sandlådeflykt ett potentiellt fotfäste för attacker i leveranskedjan. En angripare som kan få in en förgiftad fil i ett arkiv – genom ett beroende, en klonad repo eller en komprometterad bidragsgivare – kan tänkas förvandla en betrodd kodningsagent till en exekveringsvektor på en utvecklares maskin.

Detta är samma riskklass som dök upp tidigare 2026, när forskare fann att öppnande av ett skadligt arkiv i Cursor kunde exekvera kod på Windows tyst. Sandlådans flykt generaliserar det hotet: det är inte ett verktyg eller en plattform, utan interaktionsmodellen mellan sandlådeagenter och de pålitliga verktyg som omger dem.

Det svåra problemet med betrodda filer

Den grundläggande svårigheten är att en kodningsagents sandlåda inte kan behandla alla arbetsytefiler som opålitliga utan att förlama agentens användbarhet. Agenten måste skriva kod, konfiguration och skript, och dessa filer måste läsas och åtgärdas av utvecklarens verktyg. Ta bort det förtroendet och agenten kan inte fungera; bevara den och flyktvektorn finns kvar.

Pillars forskning erbjuder inte en enda drop-in fix, och det är en del av varför fynden spelar roll. De skapar ett designproblem som branschen måste lösa kollektivt – genom starkare isolering mellan agentens arbetsyta och värdens exekveringsyta, genom signering eller attestering av agentskrivna filer, eller genom att tänka om vilka verktyg som överhuvudtaget är tillåtna att autoexekvera innehåll på arbetsytan.

För utvecklare som använder Cursor, Codex, Gemini CLI eller Antigravity idag är det praktiska alternativet att vara försiktig med otillförlitliga indata: klonade arkiv, tredjepartsberoenden och bidragskod bör behandlas som potentiellt bärande snabbinjektion som inte bara riktar sig till modellen utan filsystemet runt den.

Ligg före AI

Följ vår AI-industritäckning för löpande täckning av AI-säkerhet, kodningsagenter och de infrastrukturrisker som de inför.

Läs fler AI-nyheter