Cursor・Codex など 4 社の AI コーディング AI エージェント、サンドボックス回避脆弱性が 7 件発見

要約

Pillar Security は Cursor・Codex・Gemini CLI・Antigravity の 4 社のコーディング AI エージェントで計 7 件のサンドボックス回避脆弱性を発見した。エージェント自体が直接サンドボックスを破壊するのではなく、サンドボックス外の信頼済みコンポーネント (IDE 拡張・Git 統合・ローカルデーモン等) が後に実行・読み込み・検証する内容をエージェントが書き込むことで境界を越えていた。失敗パターンは 4 つに分類される：OS 複雑性に追いつけないデニーリスト・実行可能コードであるワークスペース設定・コマンド名だけを信頼するホワイトリスト・サンドボックス外で動作する特権デーモンへのアクセス。エージェントのリスク範囲はプロセスだけでなく、ホストが信頼する全てのファイル書き込みを含める必要があり、セキュリティチームは従来のプロセス監視中心の設計では対応できないエージェント特有の脅威モデルを構築すべき。