Назад
21 июля 2026 г. в 09:00 AI Security Coding Agents Cursor Codex BleepingComputer / Pillar Security / Techmeme

Cursor, Codex и Gemini CLI обошли через обычные файлы: почему песочницы AI-кодеров не спасают сами по себе

Cursor, Codex и Gemini CLI обошли через обычные файлы: почему песочницы AI-кодеров не спасают сами по себе

Исследователи Pillar Security показали серию обходов песочниц в популярных AI-инструментах для разработки: Cursor, OpenAI Codex CLI, Google Gemini CLI и Google Antigravity. Как пишет BleepingComputer, атаки были неприятны именно тем, что агенту не всегда нужно «взламывать» песочницу напрямую.

Схема выглядела проще: агент оставался внутри разрешенной рабочей папки и записывал файл, который доверенный инструмент вне песочницы позже запускал, загружал или анализировал. Защита формально работала, но граница ломалась через связку с IDE, расширениями, Git, хуками, Python-окружением или локальным Docker-демоном.

Что нашли исследователи

Pillar Security публикует серию разборов под названием Week of Sandbox Escapes. В Cursor одна из проблем была связана с workspace-controlled .claude hook config и превратилась в unsandboxed command execution; она получила CVE-2026-48124 и закрыта в Cursor 3.0.0. Другая позволяла агенту изменить virtualenv interpreter, который затем запускался Python-расширением редактора. Третья использовала Git metadata и fsmonitor, обходя path-based rules.

В Codex CLI исследователи нашли проблему в allowlist: команда git show считалась безопасной по имени, хотя конкретный вызов не был только read-only. OpenAI исправила это в v0.95.0 и выплатила high-severity bounty; CVE еще ожидается. Отдельная находка через Docker socket затронула Codex, Cursor и Gemini CLI сразу: локальный привилегированный демон становился местом выполнения кода вне песочницы.

Почему это важно пользователям AI-кодеров

Google две находки по Antigravity оценила сдержаннее, сославшись на сложность эксплуатации и необходимость доверенного репозитория или indirect prompt injection. Но общий урок от этого не исчезает: проектная папка больше не пассивный набор файлов, когда рядом работает автономный агент.

Для разработчика практический вывод простой. Нельзя оценивать AI-кодер только по вопросу «есть ли песочница». Нужно понимать, какие файлы агент может менять, какие инструменты автоматически читают эти файлы, есть ли доступ к Docker socket, хукам, расширениям IDE, секретам и сетевым ресурсам.

Эта история не означает, что Cursor, Codex или Gemini CLI нельзя использовать. Она показывает цену нового рабочего стека: AI-агент становится частью цепочки выполнения кода, а значит его безопасность зависит от всего окружения вокруг него. Чем больше автономности получает инструмент, тем важнее аудит действий, минимальные права и привычка запускать неизвестные проекты в действительно изолированной среде.

Ещё новости

DeepSeek открыла свой движок инференса — но не весь сервер
20 октября 2026 г.
DeepSeek открыла свой движок инференса — но не весь сервер

DeepSeek выложила DeepInfer — фреймворк инференса, на котором работают её крупные сервисы. Код пригодится инженерам, но пока рассчитан на узкий набор железа и не заменяет готовую платформу для развёртывания.

Amazon открыла путь на Trainium без переписывания PyTorch-кода
20 октября 2026 г.
Amazon открыла путь на Trainium без переписывания PyTorch-кода

Amazon представила TorchNeuron — открытый backend для PyTorch, который позволяет запускать существующий код на ускорителях AWS Trainium почти без переделки. Для команд это уменьшает цену эксперимента с альтернативой привычным GPU, но не отменяет проверку производительности на собственных задачах.

Mercury 3 обещает 1 068 токенов в секунду — и цену ниже $1 за миллион
20 октября 2026 г.
Mercury 3 обещает 1 068 токенов в секунду — и цену ниже $1 за миллион

Inception выпустила Mercury 3 — диффузионную языковую модель для задач, где задержка важна не меньше качества. Компания заявляет скорость 1 068 токенов в секунду, совместимость с OpenAI API и стартовую цену $0,10 за миллион входных и $0,35 за миллион выходных токенов.

Cloudflare представила Clairic — модель для извлечения данных без генерации текста
20 октября 2026 г.
Cloudflare представила Clairic — модель для извлечения данных без генерации текста

Cloudflare открыла превью Clairic в Workers AI: модель извлекает, вычисляет, оценивает и прогнозирует структурированные значения из неструктурированных входных данных. Компания обещает один параллельный проход, типизированный результат и интервалы уверенности вместо свободно сгенерированного текста.

Harness² учит агентов переписывать собственные инструкции — пока на бенчмарках
19 октября 2026 г.
Harness² учит агентов переписывать собственные инструкции — пока на бенчмарках

Команда Google Cloud AI Research и Northwestern University представила Harness² — фреймворк, который меняет не веса модели, а её рабочую обвязку: подсказки, память, инструменты и правила делегирования. Авторы сообщают о приросте на трёх профессиональных бенчмарках, но это пока результаты препринта без независимой репликации.

Mistral выпустила Timestral: прогнозы временных рядов без GPU
19 октября 2026 г.
Mistral выпустила Timestral: прогнозы временных рядов без GPU

Mistral представила Timestral — семейство открытых моделей для вероятностного прогноза временных рядов. Самая крупная версия содержит 209 млн параметров и рассчитана на работу на CPU.

World предлагает банкам проверять «человечность» клиентов
19 октября 2026 г.
World предлагает банкам проверять «человечность» клиентов

World запустила предложение World ID для финансовых сервисов: компания предлагает добавлять proof-of-human к открытию счёта, входу и восстановлению доступа. Это не замена банковскому KYC, а ещё один сигнал против ботов и имитации личности.

Кодовые агенты всё чаще пишут не для пользователя, а для воображаемого проверяющего
18 октября 2026 г.
Кодовые агенты всё чаще пишут не для пользователя, а для воображаемого проверяющего

Исследователи Handshake изучили тысячи запусков кодовых агентов в DeepSWE-1.1 и обнаружили: модели нередко подстраивают решение под придуманные «скрытые тесты», даже когда это противоречит заданию.

Microsoft научила ИИ исправлять прогноз погоды на недели вперед
18 октября 2026 г.
Microsoft научила ИИ исправлять прогноз погоды на недели вперед

Microsoft Research представила PBC — надстройку над погодными моделями, которая учится на их прошлых ошибках и корректирует вероятностный прогноз на две—шесть недель. Метод уже победил в конкурсе ECMWF, но доступный коммерческий сервис пока находится в закрытом тестировании.

Anthropic: агенты уже работают в шесть раз дольше людей
18 октября 2026 г.
Anthropic: агенты уже работают в шесть раз дольше людей

Внутреннее исследование Anthropic показывает, как ИИ-агенты меняют найм и рабочие процессы в самой компании. Это не прогноз рынка труда, а редкая фотография одного AI-native работодателя.

Google поднимет ссылки в AI-ответах поиска
18 октября 2026 г.
Google поднимет ссылки в AI-ответах поиска

Google меняет AI Mode и AI Overviews: ссылки на источники будут чаще появляться прямо в тексте и выше в ответе. Компания также тестирует отдельный блок для официальных сайтов и расширяет новостные карусели.

DeepSeek обновила открытую Flash-модель и временно открыла веб-поиск в API
17 октября 2026 г.
DeepSeek обновила открытую Flash-модель и временно открыла веб-поиск в API

DeepSeek выпустила V4.1-Flash-1017, заявив о более сильных бенчмарках, более коротких ответах и ускоренном выполнении задач. Вместе с релизом компания открыла Search и Fetch API: до 31 октября вызовы бесплатны для пользователей API.