Badacze znajdują luki pozwalające uciec z sandboksa w czterech agentach kodujących AI

Trzej badacze bezpieczeństwa z izraelskiej firmy Pillar Security opublikowali serię ośmiu luk pozwalających ominąć piaskownice w czterech najpopularniejszych agentach kodujących AI: Cursorze, Codex CLI od OpenAI, Gemini CLI od Google oraz Antigravity. Wspólny mechanizm ataku jest zaskakująco prosty - agent formalnie nie łamie żadnej reguły, po prostu zapisuje plik, któremu zaufa inne narzędzie działające już poza piaskownicą.

Jak działa ucieczka

Nowoczesne agenty kodujące działają w piaskownicach ograniczających ich dostęp do systemu plików i sieci. Problem w tym, że pliki, które taki agent zapisuje wewnątrz piaskownicy, bywają później odczytywane, ładowane albo uruchamiane przez zaufane narzędzia działające już poza nią - rozszerzenia edytora, menedżery pakietów, lokalne demony. Agent nigdy formalnie nie przekracza granicy, granicę przekracza dopiero system, który mu zaufał.

An agent's blast radius is not the agent process; it includes everything the agent can write that the host later trusts - Pillar Security

Cztery narzędzia, osiem luk

W Cursorze badacze znaleźli trzy niezależne ścieżki ataku: plik konfiguracyjny hooków .claude kontrolowany przez zawartość workspace'u pozwalał na uruchamianie poleceń poza piaskownicą (CVE-2026-48124, załatane w wersji 3.0.0), modyfikacja interpretera virtualenv była później wykonywana przez rozszerzenia Pythona, a manipulacja metadanymi Gita przez fsmonitor omijała reguły bezpieczeństwa oparte na ścieżkach plików.

W Codex CLI od OpenAI problemem była lista dozwolonych poleceń - komenda git show wyglądała na operację tylko do odczytu, ale w praktyce nią nie była, co pozwalało obejść allowlistę (GHSA-v4xv-rqh3-w9mc, załatane w wersji 0.95.0). W Gemini CLI Google luka dotyczyła dostępu do gniazda Dockera, a w Antigravity - obejścia listy blokowanej mechanizmu Seatbelt w macOS oraz konfiguracji zadań .vscode.

Wspólna luka w gnieździe Dockera

Najpoważniejsza z odkrytych luk dotyczyła jednocześnie trzech narzędzi naraz - Codex, Cursora i Gemini CLI. Wszystkie trzy agenty miały dostęp do gniazda Dockera, czyli lokalnego, uprzywilejowanego demona, który w praktyce stawał się drugim, niekontrolowanym środowiskiem uruchomieniowym poza granicami piaskownicy. Wystarczyło, że agent wydał demonowi odpowiednie polecenie, by kod wykonał się już bez żadnych ograniczeń.

Wektorem inicjującym atak w praktyce bywa prompt injection ukryty w pliku README, zgłoszeniu błędu na GitHubie albo w zależności projektu - treść, którą agent czyta jako część swojej pracy, a która zawiera ukryte instrukcje prowadzące do zapisania złośliwego pliku wykorzystywanego później przez zaufane narzędzie.

Reakcje producentów

Większość zgłoszonych błędów doczekała się łatek. OpenAI wypłaciło za jedno ze zgłoszeń wysoką nagrodę w programie bug bounty. Google ocenił jakość badania wysoko, jednocześnie obniżając ocenę powagi dwóch luk w Antigravity - firma argumentuje, że ich wykorzystanie wymaga inżynierii społecznej albo zaufania użytkownika do repozytorium zawierającego ukrytą instrukcję typu prompt injection.

If an agent gets to write the future inputs of systems, it was never sandboxed in the first place - Pillar Security

Badacze podkreślają, że problem ma charakter strukturalny, a nie punktowy - każda kolejna integracja agenta z zewnętrznym narzędziem, edytorem czy demonem systemowym potencjalnie otwiera nową ścieżkę ucieczki, niezależnie od tego, jak szczelna jest sama piaskownica procesu agenta.

Znaczenie dla programistów

Cursor, Codex CLI, Gemini CLI i Antigravity to jedne z najczęściej instalowanych agentów kodujących na świecie, używane też przez polskich programistów do codziennej pracy z repozytoriami. Odkrycia Pillar Security pokazują, że sama piaskownica na poziomie procesu agenta nie chroni maszyny dewelopera, jeśli agent ma dostęp do narzędzi, którym system ufa bezwarunkowo - od rozszerzeń edytora po lokalne demony jak Docker.

Dla zespołów wdrażających agentowe narzędzia w firmach oznacza to konieczność traktowania każdej integracji agenta z zewnętrznym systemem jako osobnej powierzchni ataku, a nie polegania wyłącznie na deklarowanych ograniczeniach piaskownicy producenta.