El equipo de Pillar Security logró ejecutar escapes de sandbox en cuatro herramientas populares de programación con IA: Cursor, Codex de OpenAI, Gemini CLI de Google y Antigravity. Estos ataques no requieren que los agentes rompan directamente el sandbox, sino que manipulan archivos que el sistema externo lee y ejecuta automáticamente, como archivos de configuración .claude o .vscode, para inyectar comandos que se ejecutan sin intervención del usuario.
Las vulnerabilidades se basan en cuatro tipos principales de debilidades: sandboxes con listas de denegación incompatibles con el sistema operativo, archivos de configuración ejecutables, listas de comandos confiables que no validan argumentos y servicios locales autorizados que funcionan fuera del sandbox. La mayoría de estas vulnerabilidades ya han sido corregidas en actualizaciones recientes, como Cursor 3.0.0 y Codex v0.95.0. En particular, una vulnerabilidad relacionada con un socket Docker afectaba a tres herramientas distintas y ha sido completamente resuelta.
Google clasificó dos de las vulnerabilidades en Antigravity como "difíciles de explotar" y les asignó prioridad baja, aunque elogió la calidad del informe. Este tipo de vulnerabilidades ya había sido observado en 2024 por Cymulate, que las denominó "Escape de Sandbox Basado en Configuración". Pillar enfatiza que la solución no consiste simplemente en mantener una lista de nombres de archivos prohibidos, sino en monitorear cuando herramientas confiables ejecutan archivos escritos por agentes de IA.