L'azienda di sicurezza Pillar Security ha pubblicato lunedì 20 luglio "The Week of Sandbox Escapes" — una serie di disclosure che mostra come quattro dei più usati agenti di coding AI, Cursor, OpenAI Codex CLI, Google Gemini CLI e Google Antigravity, potessero essere fatti evadere dagli attaccanti senza mai violare la sandbox stessa.

Il trucco: scrivere il futuro

I ricercatori Eilon Cohen, Dan Lisichkin e Ariel Fogel hanno individuato uno schema comune: l'agente in sandbox scrive un file o una configurazione che un componente fidato esterno alla sandbox esegue, carica o analizza in un secondo momento. Come osserva Pillar: "If an agent gets to write the future inputs of systems, it was never sandboxed in the first place." Bastava un repository compromesso o un prompt injection indiretto per indurre l'agente a piazzare il payload.

Le vulnerabilità specifiche

I punti salienti della serie: un esposto socket Docker raggiungibile dall'interno della sandbox ha colpito insieme Codex, Cursor e Gemini CLI (GHSA-v4xv-rqh3-w9mc). Il supporto di Cursor per .claude hook configs ha consentito l'esecuzione di comandi fuori sandbox (CVE-2026-48124, corretto in Cursor 3.0.0), insieme a uno scambio dell'interprete venv di Python e a un trucco con git fsmonitor. In Codex CLI, il bypass "GitPwned" ha abusato della allowlist che si fidava di git show per nome, mentre l'invocazione non era realmente in sola lettura — corretto in v0.95.0, con OpenAI che ha pagato un bounty ad alta gravità. Su Antigravity, Pillar ha dimostrato un bypass della denylist macOS Seatbelt e un percorso di injection dei task di VS Code.

I vendor divergono sulla gravità

Cursor e OpenAI hanno rilasciato correzioni e riconosciuto i risultati. Google ha classificato i due problemi di Antigravity come "other valid security vulnerabilities" e li ha declassati come difficili da sfruttare, poiché richiedono che un utente apra un repository malevolo — il che significa che quei percorsi sono stati riconosciuti ma non completamente corretti.

Una serie di approfondimenti

Pillar sta pubblicando un approfondimento tecnico al giorno questa settimana, quindi i dettagli completi degli exploit stanno ancora emergendo — e con milioni di sviluppatori che eseguono questi agenti su macchine aziendali, l'indicazione di correggere subito vale prima che la serie di write-up sia completata.