Investigadores de seguridad lograron evadir las protecciones de los entornos aislados (sandbox) de cuatro agentes de codificación de IA ampliamente utilizados: Cursor, OpenAI Codex, Google Gemini CLI y Antigravity. En lugar de atacar directamente el sandbox, los investigadores explotaron herramientas confiables que se ejecutan fuera del entorno aislado, pero que leen o ejecutan archivos generados por el agente.
Cómo funcionan los escapes
El equipo de investigación de Pillar Security, formado por Eilon Cohen, Dan Lisichkin y Ariel Fogel, reprodujo las vulnerabilidades durante varios meses y las publicó en una serie denominada 'Semana de los escapes de sandbox'. El principio fundamental es que, aunque el agente está restringido al espacio de trabajo del proyecto, los archivos que escribe no son inertes: las herramientas externas los leen y actúan sobre ellos, convirtiendo un archivo permitido en un comando que el anfitrión ejecuta posteriormente.
Los IDE y los agentes de línea de comandos ejecutan constantemente sus propias herramientas fuera del sandbox: extensiones de Python que resuelven intérpretes, integraciones de Git que escanean repositorios, VS Code que ejecuta archivos de tareas, motores de hooks que lanzan comandos y Docker Desktop que expone un socket local. Un agente confinado puede obedecer todas las reglas y, sin embargo, manipular los archivos que esos componentes leen.
La inyección de indicaciones (prompt injection) actúa como desencadenante: una instrucción maliciosa colocada en un README, un issue, una dependencia o un diff se convierte en una acción local en la máquina del desarrollador. Pillar clasifica los siete hallazgos en cuatro modos de fallo: sandboxes basados en listas negras que no pueden seguir el ritmo del sistema operativo; configuración del espacio de trabajo que es realmente código ejecutable; listas de comandos 'seguros' que confían en el nombre del comando pero no en sus argumentos; y demonios locales privilegiados que se encuentran completamente fuera del sandbox.
Los fallos y las soluciones
La mayoría de los problemas han sido parcheados y reconocidos por los proveedores. En Cursor, una configuración de hook de .claude controlada por el espacio de trabajo se convertía en ejecución de comandos sin restricciones. Está registrada como CVE-2026-48124 y se corrigió en la versión 3.0.0.
Un segundo fallo en Cursor permitía al agente editar un intérprete de virtualenv que la extensión de Python del editor ejecutaba por su cuenta durante el descubrimiento. Un tercero abusaba de que los metadatos de Git no tienen por qué vivir en una carpeta llamada .git, desencadenando la ejecución a través de fsmonitor y evadiendo las reglas basadas en rutas de Cursor. También se parcheó en la versión 3.0.0, con un CVE pendiente.
En Codex CLI, una lista de comandos 'seguros' confiaba en 'git show' por su nombre, mientras que la invocación real no era de solo lectura. OpenAI lo parcheó en la versión v0.95.0 y pagó una recompensa de alta gravedad, con un CVE pendiente. Un hallazgo relacionado con el socket de Docker afectó simultáneamente a Codex, Cursor y Gemini CLI: un demonio local privilegiado al que los agentes podían acceder se convirtió en un lugar sin restricciones para ejecutar código. Ese problema ya está corregido.
Google resta importancia a sus dos fallos
La respuesta de Google a los dos hallazgos en Antigravity (una evasión de la lista negra de macOS Seatbelt y una evasión de la configuración de tareas de .vscode en el Modo Seguro) fue más fría. Según Pillar, Google clasificó ambos como 'Otras vulnerabilidades de seguridad válidas' y aplicó una rebaja, argumentando que son difíciles de explotar porque requieren ingeniería social o que un usuario confíe en un repositorio que contenga una inyección indirecta de indicaciones. Sin embargo, Pillar afirma que el equipo de Google valoró altamente el trabajo, citando comentarios de que uno de los informes era 'de calidad excepcional'.
Un problema antiguo, pero más amplio
La clase subyacente de vulnerabilidad no es nueva. En abril, Cymulate documentó el mismo patrón, al que denominó 'Escape de sandbox basado en configuración', en Claude Code, Gemini CLI y Codex CLI, donde un archivo escrito dentro del sandbox se ejecuta en el anfitrión en el siguiente inicio. Lo novedoso es la amplitud: el mismo fallo aparece en cuatro herramientas de tres proveedores, lo que constituye una señal más útil para quienes evalúan herramientas de codificación con IA. La solución propuesta por Pillar no es otra lista de nombres de archivo prohibidos, sino vigilar el momento en que una herramienta local confiable ejecuta algo que el agente escribió.
Deja una respuesta