นักวิจัยด้านความปลอดภัยได้แสดงให้เห็นว่าแซนด์บ็อกซ์ที่ปกป้องเอเจนต์การเข้ารหัส AI ที่ใช้กันอย่างแพร่หลายสี่ตัว ได้แก่ เคอร์เซอร์, Codex ของ OpenAI, Gemini CLI ของ Google และ Antigravity สามารถหลบหนีได้โดยไม่ต้องโจมตีแซนด์บ็อกซ์โดยตรง ผลการวิจัยซึ่งเผยแพร่เมื่อวันที่ 20 กรกฎาคม 2569 โดยทีมวิจัยของ Pillar Security และรายงานโดย BleepingComputer เผยให้เห็นจุดอ่อนเชิงโครงสร้างในการที่เครื่องมือเข้ารหัส AI แยกโค้ดที่ตัวแทนสร้างขึ้นจากเครื่องของนักพัฒนาที่พวกเขาใช้งาน
การวิจัยนี้เป็นจุดข้อมูลที่สำคัญสำหรับทุกคนที่ติดตาม ข่าวด่วน AI เกี่ยวกับความปลอดภัยของตัวแทน เพราะมันแสดงให้เห็นว่าแม้แต่ตัวแทนที่ปฏิบัติตามกฎระเบียบอย่างสมบูรณ์ — ผู้ที่ปฏิบัติตามกฎทุกข้อในแซนด์บ็อกซ์ — ก็ยังสามารถแยกแยะได้ ข้อบกพร่องไม่ได้อยู่ที่พฤติกรรมของตัวแทน แต่อยู่ในขอบเขตความน่าเชื่อถือที่แซนด์บ็อกซ์ยอมรับ
วิธีการทำงานของ Escapes
ข้อมูลเชิงลึกที่สำคัญนั้นเรียบง่ายอย่างหลอกลวง เอเจนต์การเข้ารหัส AI สมัยใหม่ทำงานภายในแซนด์บ็อกซ์ที่ลากเส้น: เอเจนต์ได้รับความไว้วางใจภายในพื้นที่ทำงานของโปรเจ็กต์ และโฮสต์ภายนอกได้รับการปกป้อง สมมติฐานคือไฟล์ภายในเวิร์กสเปซเป็นแบบเฉื่อย — ข้อมูล ไม่ใช่คำสั่ง
แต่พวกเขาไม่เฉื่อย เครื่องมือที่ทำงานนอกแซนด์บ็อกซ์จะอ่านและดำเนินการกับไฟล์เหล่านั้นอย่างต่อเนื่อง สภาพแวดล้อมการพัฒนาแบบรวมช่วยแก้ไขล่าม Python, ที่เก็บสแกนการรวม Git, VS Code รันไฟล์งาน, คำสั่งการทำงานของ hook engine และ Docker Desktop เปิดเผยซ็อกเก็ตในเครื่อง เอเจนต์แบบแซนด์บ็อกซ์สามารถปฏิบัติตามกฎทุกข้อที่ได้รับ และยังคงเขียนไฟล์ที่หนึ่งในเครื่องมือภายนอกเหล่านั้นดำเนินการ โหลด หรือสแกนในภายหลัง
ตามการรายงานของ BleepingComputer การหลบหนี "เกิดขึ้นเอง": เจ้าหน้าที่จะอยู่ภายในกล่อง ปฏิบัติตามทุกกฎ และเพียงแค่เขียนไฟล์ที่เครื่องมือที่เชื่อถือได้ภายนอกกล่องจะทำงานในภายหลัง ตัวแทนไม่เคยแตกออก การฝ่าวงล้อมทำได้ในนามของซอฟต์แวร์ที่นักพัฒนาเชื่อถือได้อยู่แล้ว
ทริกเกอร์: การฉีดพร้อมท์
กลไกที่กำหนดให้การหลบหนีเหล่านี้เกิดขึ้นคือการฉีดทันที ซึ่งเป็นช่องโหว่แบบเดียวกับที่รบกวนเจ้าหน้าที่ AI ทั่วทั้งโดเมน คำสั่งที่เป็นอันตรายที่ฝังอยู่ในไฟล์ README, ปัญหา GitHub, การขึ้นต่อกันของโปรเจ็กต์ หรือส่วนต่างของโค้ด จะกลายเป็นการดำเนินการเฉพาะที่บนเครื่องของนักพัฒนาเมื่อตัวแทนประมวลผลคำสั่งดังกล่าว
สิ่งนี้เชื่อมโยงการวิจัยแซนด์บ็อกซ์กับรูปแบบที่กว้างขึ้นในการรักษาความปลอดภัยของ AI เอเจนต์ไม่จำเป็นต้องถูกบุกรุกหรือเจลเบรค มันเพียงแค่ต้องพบกับอินพุตที่เป็นอันตรายในระหว่างการทำงานปกติ เช่น การอ่านไฟล์ ตรวจสอบคำขอดึง ติดตั้งแพ็คเกจ จากนั้นดำเนินการคำสั่งแบบฝังโดยการเขียนไฟล์ที่ถูกต้องในตำแหน่งที่ถูกต้อง แซนด์บ็อกซ์อนุญาตให้เขียนได้ เนื่องจากการเขียนไฟล์เป็นสิ่งที่ตัวแทนการเขียนโค้ดควรทำ
'สัปดาห์แห่งการหลบหนีจาก Sandbox'
ทีมวิจัยของ Pillar Security ได้แก่ Eilon Cohen, Dan Lisichkin และ Ariel Fogel ได้สร้างการเลี่ยงผ่านนี้ขึ้นมาใหม่เป็นเวลาหลายเดือนและตีพิมพ์เป็นซีรีส์ที่พวกเขาเรียกว่า "Week of Sandbox Escapes" โดยเผยแพร่บทความหนึ่งเรื่องต่อวัน นักวิจัยได้จัดเรียงข้อค้นพบทั้ง 7 ข้อของพวกเขาออกเป็น 4 รูปแบบความล้มเหลวที่แตกต่างกัน
หมวดหมู่หนึ่งคือสิ่งที่พวกเขาอธิบายว่าเป็นแซนด์บ็อกซ์ในรายการที่ปฏิเสธ — แซนด์บ็อกซ์ที่พยายามบล็อกการกระทำที่เป็นอันตรายเฉพาะเจาะจง แทนที่จะอนุญาตเฉพาะการกระทำที่ปลอดภัยเท่านั้น ผู้ปฏิเสธมีความเปราะบางอย่างฉาวโฉ่เนื่องจากขึ้นอยู่กับการคาดการณ์การโจมตีที่เป็นไปได้ทุกครั้ง และการหลบหนีแสดงให้เห็นว่าเจ้าหน้าที่สามารถกำหนดเส้นทางหลีกเลี่ยงการกระทำที่ถูกบล็อกได้อย่างไรโดยการขอความช่วยเหลือจากเครื่องมือภายนอกที่ไม่เคยอยู่ในรายการปฏิเสธตั้งแต่แรก
เครื่องมือทั้งสี่ที่ได้รับผลกระทบ ได้แก่ Cursor, Codex ของ OpenAI, Gemini CLI ของ Google และ Antigravity แสดงถึงส่วนต่างๆ ของตลาดตัวแทนการเข้ารหัส AI ตั้งแต่ปลั๊กอิน IDE สำหรับผู้บริโภค ไปจนถึงเครื่องมือบรรทัดคำสั่งขององค์กร ความกว้างดังกล่าวชี้ให้เห็นว่าปัญหาไม่ใช่จุดบกพร่องในผลิตภัณฑ์ใดผลิตภัณฑ์หนึ่ง แต่เป็นสมมติฐานทางสถาปัตยกรรมที่ใช้ร่วมกันว่าการวิจัยเป็นโมฆะ
เหตุใดสิ่งนี้จึงสำคัญสำหรับเศรษฐกิจตัวแทน
ผลกระทบดังกล่าวขยายไปไกลกว่านักพัฒนารายบุคคล เนื่องจากเอเจนต์การเขียนโค้ดถูกฝังอยู่ในไปป์ไลน์อัตโนมัติ ระบบบูรณาการอย่างต่อเนื่อง และเวิร์กโฟลว์อัตโนมัติ การหลบหนีแบบแซนด์บ็อกซ์จึงกลายเป็นจุดยืนหลักสำหรับการโจมตีห่วงโซ่อุปทาน ผู้โจมตีที่สามารถนำไฟล์พิษเข้าไปในพื้นที่เก็บข้อมูลผ่านทางการขึ้นต่อกัน สำเนา repo หรือผู้มีส่วนร่วมที่ถูกบุกรุก สามารถเปลี่ยนตัวแทนการเข้ารหัสที่เชื่อถือได้ให้กลายเป็นเวคเตอร์การดำเนินการบนเครื่องของนักพัฒนาได้
นี่เป็นความเสี่ยงระดับเดียวกับที่เกิดขึ้นเมื่อต้นปี 2569 เมื่อนักวิจัยพบว่าการเปิดพื้นที่เก็บข้อมูลที่เป็นอันตรายในเคอร์เซอร์สามารถรันโค้ดบน Windows ได้อย่างเงียบๆ การหลบหนีแซนด์บ็อกซ์เป็นการสรุปภัยคุกคามดังกล่าว: ไม่ใช่เครื่องมือเดียวหรือแพลตฟอร์มเดียว แต่เป็นโมเดลการโต้ตอบระหว่างเอเจนต์แซนด์บ็อกซ์และเครื่องมือที่เชื่อถือได้ซึ่งล้อมรอบพวกมัน
ปัญหาหนักของไฟล์ที่เชื่อถือได้
ปัญหาพื้นฐานคือแซนด์บ็อกซ์ของเอเจนต์การเขียนโค้ดไม่สามารถถือว่าไฟล์พื้นที่ทำงานทั้งหมดไม่น่าเชื่อถือ โดยไม่กระทบต่อประโยชน์ของเอเจนต์ เอเจนต์จำเป็นต้องเขียนโค้ด การกำหนดค่า และสคริปต์ และไฟล์เหล่านั้นจำเป็นต้องได้รับการอ่านและดำเนินการโดยเครื่องมือของนักพัฒนา ดึงความไว้วางใจนั้นออกไปและตัวแทนไม่สามารถทำงานได้ รักษามันไว้และเวกเตอร์การหลบหนียังคงอยู่
การวิจัยของ Pillar ไม่ได้เสนอวิธีแก้ปัญหาแบบดรอปเดียวและนั่นเป็นส่วนหนึ่งของสาเหตุที่การค้นพบนี้มีความสำคัญ พวกเขาวางกรอบปัญหาการออกแบบที่อุตสาหกรรมจะต้องแก้ไขร่วมกัน ผ่านการแยกที่แข็งแกร่งระหว่างพื้นที่ทำงานของตัวแทนและพื้นผิวการดำเนินการของโฮสต์ ผ่านการลงนามหรือการรับรองไฟล์ที่ตัวแทนเขียนขึ้น หรือผ่านการคิดใหม่ว่าเครื่องมือใดที่ได้รับอนุญาตให้ดำเนินการเนื้อหาพื้นที่ทำงานโดยอัตโนมัติเลย
สำหรับนักพัฒนาที่ใช้ Cursor, Codex, Gemini CLI หรือ Antigravity ในปัจจุบัน สิ่งที่ควรปฏิบัติในทางปฏิบัติคือข้อควรระวังกับอินพุตที่ไม่น่าเชื่อถือ: ที่เก็บโคลน การขึ้นต่อกันของบุคคลที่สาม และโค้ดที่สนับสนุน ควรถือเป็นการแทรกพร้อมท์ที่กำหนดเป้าหมายไม่ใช่แค่โมเดลเท่านั้น แต่ยังรวมถึงระบบไฟล์ที่อยู่รอบๆ ด้วย
ก้าวนำหน้า AI
หากต้องการความคุ้มครองอย่างต่อเนื่องเกี่ยวกับความปลอดภัยของ AI, ตัวแทนการเขียนโค้ด และความเสี่ยงด้านโครงสร้างพื้นฐานที่นำเสนอ โปรดติดตาม ความครอบคลุมของอุตสาหกรรม AI ของเรา
อ่านข่าว AI เพิ่มเติม
