Pesquisadores de segurança conseguiram escapar dos sandboxes em quatro agentes de programação com IA amplamente usados, incluindo Cursor, Codex da OpenAI, Gemini CLI do Google e Antigravity, sem atacar o sandbox de forma direta.
O agente permanece dentro da caixa e segue todas as regras.
Ele apenas grava um arquivo que, mais tarde, uma ferramenta confiável fora da caixa executa, carrega ou inspeciona, e a saída ocorre sozinha.
A equipe de pesquisa da Pillar Security, formada por Eilon Cohen, Dan Lisichkin e Ariel Fogel, reproduziu os bypasses ao longo de vários meses e publicou os resultados nesta segunda-feira em uma série chamada Week of Sandbox Escapes, com uma análise por dia.
Esses sandboxes traçam uma linha simples: o agente é confiável dentro do espaço de trabalho do projeto, enquanto o host fora dele fica protegido.
O problema é que os arquivos dentro do espaço de trabalho não são inertes.
Ferramentas executadas fora do sandbox leem e processam esses arquivos, então um arquivo que o agente tem permissão para escrever pode se transformar em um comando que o host executa depois.
IDEs e agentes de CLI executam constantemente suas próprias ferramentas fora do sandbox: extensões de Python que resolvem interpretadores, integrações com Git que examinam repositórios, o VS Code executando arquivos de tarefas, mecanismos de hook disparando comandos e o Docker Desktop expondo um socket local.
Um agente isolado em sandbox pode obedecer a todas as regras recebidas e ainda assim moldar os arquivos que esses componentes leem.
O gatilho é a prompt injection.
Uma instrução maliciosa inserida em um README, em uma issue, em uma dependência ou em um diff se transforma em uma ação local na máquina do desenvolvedor.
A Pillar classifica as sete descobertas em quatro modos de falha:
- sandboxes com denylist que não conseguem acompanhar o sistema operacional
- configurações do espaço de trabalho que, na prática, são código executável
- allowlists de comandos “seguros” que confiam no nome do comando, e não nos argumentos
- daemons locais privilegiados que ficam totalmente fora do sandbox
A maioria dos problemas já foi corrigida e reconhecida pelos fornecedores.
No Cursor, uma configuração de hook .claude controlada pelo espaço de trabalho virou execução de comando sem sandbox.
O caso agora é acompanhado como
CVE-2026-48124
e foi corrigido na versão 3.0.0.
Um segundo bug no Cursor permitia que o agente editasse um interpretador de virtualenv que a extensão de Python do editor executava por conta própria durante a descoberta.
Um terceiro abusava do fato de que os metadados do Git não precisam ficar em uma pasta chamada .git, disparando a execução por meio do fsmonitor e burlando as regras baseadas em caminho do Cursor.
O problema foi corrigido na versão 3.0.0, com um CVE ainda pendente.
No Codex CLI, uma allowlist de comandos “seguros” confiava no nome git show, embora a invocação real não fosse apenas leitura.
A OpenAI corrigiu o problema na versão v0.95.0 e pagou uma recompensa de alta severidade, com um CVE ainda pendente.
Uma das falhas envolvendo o socket do Docker atingiu ao mesmo tempo Codex, Cursor e Gemini CLI.
Um daemon local privilegiado ao qual os agentes podiam acessar virou um local sem sandbox para executar código.
O problema já foi corrigido.
A resposta do Google aos dois achados no Antigravity, um bypass da denylist do Seatbelt no macOS e um bypass da configuração de tarefa .vscode do Secure Mode, foi mais fria.
Segundo a Pillar, o Google classificou ambos como “Other valid security vulnerabilities” e aplicou um downgrade, entendendo que eram difíceis de explorar porque exigem engenharia social ou que o usuário confie em um repositório que contenha uma prompt injection indireta.
A Pillar afirma, porém, que a equipe do Google ainda avaliou o trabalho de forma positiva, citando um retorno que descreveu um dos relatórios como “de qualidade excepcional”.
A classe de problema em si não é nova.
Em abril, a Cymulate documentou o mesmo padrão, que chamou de “Configuration-Based Sandbox Escape”, em Claude Code, Gemini CLI e Codex CLI, no qual um arquivo gravado dentro do sandbox é executado no host na próxima inicialização.
O que mudou foi a abrangência.
A mesma falha aparece em quatro ferramentas de três fornecedores diferentes, o que é um sinal mais útil para quem está avaliando agentes de programação com IA.
A correção proposta pela Pillar não é apenas mais uma lista de nomes de arquivos proibidos.
Ela observa o momento em que uma ferramenta local confiável executa algo que o agente escreveu.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...