Kursor, Codex, Gemini CLI, Antigravitasi yang terkena sandbox lolos

Peneliti keamanan keluar dari kotak pasir di empat agen pengkodean AI yang banyak digunakan, termasuk Cursor, Codex OpenAI, Gemini CLI Google, dan Antigravity, tanpa menyerang kotak pasir secara langsung.

Agen tetap berada di dalam kotak dan mengikuti setiap aturan. Itu hanya menulis file yang kemudian dijalankan, dimuat, atau dipindai oleh alat tepercaya di luar kotak, dan pelarian terjadi dengan sendirinya.

Cara kerja pelariannya

Tim peneliti Pillar Security, Eilon Cohen, Dan Lisichkin dan Ariel Fogel, mereproduksi bypass tersebut selama beberapa bulan dan menerbitkannya hari ini sebagai seri yang mereka sebut sebagai Minggu Pelarian Kotak Pasirsatu artikel sehari.

Kotak pasir ini menarik garis sederhana: agen dipercaya di dalam ruang kerja proyek, host di luar dilindungi.

Tangkapannya adalah bahwa file di dalam ruang kerja tidak lembam. Alat yang berjalan di luar sandbox membaca dan menindaklanjutinya, sehingga file yang diizinkan untuk ditulis oleh agen dapat berubah menjadi perintah yang kemudian dijalankan oleh host.

Agen IDE dan CLI terus-menerus menjalankan alat mereka sendiri di luar kotak pasir: penerjemah penyelesaian ekstensi Python, repo pemindaian integrasi Git, file tugas yang menjalankan VS Code, perintah pengaktifan mesin kait, Docker Desktop yang mengekspos soket lokal.

Agen sandbox dapat mematuhi setiap aturan yang diberikan dan tetap membentuk file yang dibaca komponen tersebut.

Suntikan yang cepat adalah pemicunya. Instruksi jahat yang ditanam di README, masalah, ketergantungan, atau perbedaan menjadi tindakan lokal di mesin pengembang.

Pillar mengurutkan tujuh temuan ke dalam empat mode kegagalan:

• daftar kotak pasir yang tidak dapat mengimbangi sistem operasi
• konfigurasi ruang kerja yang benar-benar merupakan kode yang dapat dieksekusi
• Daftar izin perintah “aman” yang mempercayai nama perintah daripada argumennya, dan
• daemon lokal istimewa yang sepenuhnya berada di luar kotak pasir.

Bug, dan perbaikannya

Sebagian besar masalah telah ditambal dan disetujui oleh vendor.

Di Cursor, konfigurasi .claude hook yang dikontrol ruang kerja berubah menjadi eksekusi perintah tanpa kotak pasir. Sekarang dilacak sebagai CVE-2026-48124 dan telah diperbaiki di versi 3.0.0.

A bug Kursor kedua biarkan agen mengedit juru bahasa virtualenv yang kemudian dijalankan sendiri oleh ekstensi Python editor selama penemuan.

Yang ketiga menyalahgunakan fakta bahwa metadata Git tidak harus berada di folder bernama .git, menjalankan eksekusi melalui fsmonitor dan melewati aturan berbasis jalur Cursor. Itu telah ditambal di 3.0.0, dengan CVE yang tertunda.

Di Codex CLI, perintah “aman” yang mengizinkan git tepercaya ditampilkan berdasarkan nama sementara pemanggilan sebenarnya tidak hanya-baca. OpenAI menambalnya di v0.95.0 dan membayar hadiah dengan tingkat keparahan tinggi, dengan CVE yang tertunda.

Satu temuan soket Docker tekan Codex, Kursor dan Gemini CLI sekaligus. Daemon lokal istimewa yang dapat dijangkau agen menjadi tempat yang tidak diberi kotak pasir untuk menjalankan kode. Masalah tersebut kini telah diperbaiki.

Google menurunkan versi keduanya

Respons Google terhadap dua temuan Antigravitasi, bypass daftar penolakan macOS Seatbelt dan bypass task-config .vscode pada Mode Amannya, lebih keren.

Menurut Pillar, Google mengklasifikasikan keduanya sebagai “Kerentanan keamanan valid lainnya” dan menerapkan penurunan versi, menilai kerentanan tersebut sulit untuk dieksploitasi karena memerlukan rekayasa sosial atau pengguna mempercayai repositori yang membawa injeksi cepat tidak langsung.

Pillar mengatakan, namun tim Google masih menilai pekerjaan tersebut dengan tinggi, dengan mengutip masukan bahwa satu laporan memiliki “kualitas yang luar biasa”.

Masalah lama, masalah yang lebih luas

Kelas yang mendasarinya bukanlah hal baru. Pada bulan April, Cymulate didokumentasikan pola yang sama, yang diberi nama “Pelarian Kotak Pasir Berbasis Konfigurasi”, di Claude Code, Gemini CLI, dan Codex CLI, tempat file yang ditulis di dalam kotak pasir dijalankan di host pada peluncuran berikutnya.

Yang baru adalah luasnya. Kegagalan yang sama terjadi pada empat alat dari tiga vendor.

Perbaikan pilar bukanlah daftar nama file lain yang dilarang. Ia melihat saat alat lokal tepercaya menjalankan sesuatu yang ditulis oleh agen.

Bagi siapa pun yang mempertimbangkan alat pengkodean agen, ini adalah sinyal yang lebih berguna: bukan apakah suatu agen memiliki kotak pasir, namun apa yang terjadi pada file yang ditinggalkannya.