Cursor, Codex и Gemini CLI обошли через обычные файлы: почему песочницы AI-кодеров не спасают сами по себе
Исследователи Pillar Security показали серию обходов песочниц в популярных AI-инструментах для разработки: Cursor, OpenAI Codex CLI, Google Gemini CLI и Google Antigravity. Как пишет BleepingComputer, атаки были неприятны именно тем, что агенту не всегда нужно «взламывать» песочницу напрямую.
Схема выглядела проще: агент оставался внутри разрешенной рабочей папки и записывал файл, который доверенный инструмент вне песочницы позже запускал, загружал или анализировал. Защита формально работала, но граница ломалась через связку с IDE, расширениями, Git, хуками, Python-окружением или локальным Docker-демоном.
Что нашли исследователи
Pillar Security публикует серию разборов под названием Week of Sandbox Escapes. В Cursor одна из проблем была связана с workspace-controlled .claude hook config и превратилась в unsandboxed command execution; она получила CVE-2026-48124 и закрыта в Cursor 3.0.0. Другая позволяла агенту изменить virtualenv interpreter, который затем запускался Python-расширением редактора. Третья использовала Git metadata и fsmonitor, обходя path-based rules.
В Codex CLI исследователи нашли проблему в allowlist: команда git show считалась безопасной по имени, хотя конкретный вызов не был только read-only. OpenAI исправила это в v0.95.0 и выплатила high-severity bounty; CVE еще ожидается. Отдельная находка через Docker socket затронула Codex, Cursor и Gemini CLI сразу: локальный привилегированный демон становился местом выполнения кода вне песочницы.
Почему это важно пользователям AI-кодеров
Google две находки по Antigravity оценила сдержаннее, сославшись на сложность эксплуатации и необходимость доверенного репозитория или indirect prompt injection. Но общий урок от этого не исчезает: проектная папка больше не пассивный набор файлов, когда рядом работает автономный агент.
Для разработчика практический вывод простой. Нельзя оценивать AI-кодер только по вопросу «есть ли песочница». Нужно понимать, какие файлы агент может менять, какие инструменты автоматически читают эти файлы, есть ли доступ к Docker socket, хукам, расширениям IDE, секретам и сетевым ресурсам.
Эта история не означает, что Cursor, Codex или Gemini CLI нельзя использовать. Она показывает цену нового рабочего стека: AI-агент становится частью цепочки выполнения кода, а значит его безопасность зависит от всего окружения вокруг него. Чем больше автономности получает инструмент, тем важнее аудит действий, минимальные права и привычка запускать неизвестные проекты в действительно изолированной среде.
- bleepingcomputer.comCursor, Codex, Gemini CLI, Antigravity hit by sandbox escapes
- pillar.securityThe Week of Sandbox Escapes
- techmeme.comResearchers found sandbox escapes or boundary bypasses in Cursor, Codex, Gemini CLI, and Antigravity by writing files trusted tools later use; most are patched
- github.comCursor Desktop sandbox escape via Claude hook configuration
- github.comSandbox escape via launching privileged containers













