Gli strumenti che milioni di sviluppatori usano ogni giorno per far scrivere codice all'intelligenza artificiale hanno un problema di confini. Il 20 luglio 2026 i ricercatori di Pillar Security hanno pubblicato una serie di tecniche, ribattezzata «The Week of Sandbox Escapes», con cui gli agenti IA di Cursor, Codex CLI, Gemini CLI, Antigravity e Amazon Q possono evadere dalle sandbox che dovrebbero contenerli ed eseguire comandi con i privilegi del sistema ospite.
Il trucco: non rompere la gabbia, ma farsi aprire da fuori
L'aspetto piu' istruttivo della ricerca e' che, in quasi tutti i casi, l'agente non ha dovuto forzare direttamente la sandbox. Gli e' bastato scrivere un file che un componente fidato, all'esterno della gabbia, avrebbe poi caricato, eseguito o scansionato dandolo per sicuro. La sintesi degli autori e' diventata subito una massima da manuale di sicurezza: «il raggio d'azione di un agente non e' il processo dell'agente; comprende tutto cio' che l'agente puo' scrivere e che l'host poi si fida di eseguire».
In altre parole, la sandbox proteggeva il perimetro sbagliato. Vietava all'agente di lanciare comandi pericolosi in prima persona, ma non gli impediva di modificare le configurazioni che estensioni, hook ed engine esterni trattavano come infrastruttura affidabile.
Le tecniche, tool per tool
Il ventaglio di attacchi mostra quanti punti ciechi si nascondono nella catena:
- Cursor — un bug consentiva all'agente di modificare l'interprete Python di un ambiente virtuale, che l'estensione Python dell'editor eseguiva poi in autonomia durante la fase di «discovery». Un'altra falla sfruttava il fatto che i metadati Git non devono per forza risiedere in una cartella
.git, facendo scattare l'esecuzione tramitefsmonitore aggirando le regole basate sui percorsi. Un terzo problema abusava della configurazione degli hook. - Codex CLI — la lista dei comandi «sicuri» si fidava di
git showper nome, senza modellare gli argomenti effettivi, che potevano non essere di sola lettura. - Codex, Cursor e Gemini CLI — un'unica falla legata al socket Docker li colpiva tutti e tre: un demone locale privilegiato, raggiungibile dagli agenti, diventava un luogo non isolato in cui eseguire codice.
- Antigravity — una policy Seatbelt su macOS costruita come «denylist» lasciava raggiungibili funzioni del sistema operativo; un file di task di VSCode scritto dall'agente veniva poi eseguito dall'host.
Quali patch sono gia' disponibili
La buona notizia e' che i fornitori hanno reagito. Diverse vulnerabilita' risultano gia' corrette o riconosciute prima e subito dopo la divulgazione:
- Cursor: le tre falle sono risolte nella versione 3.0.0. Una di esse ha ricevuto l'identificativo CVE-2026-48124 con relativo avviso GHSA.
- Codex CLI: correzione nella versione 0.95.0, con riconoscimento e taglia di sicurezza per la segnalazione ad alta gravita'.
- Amazon Q Developer e Google Antigravity: hanno rilasciato le rispettive correzioni; alcuni scenari su Antigravity sono stati declassati perche' giudicati difficili da sfruttare.
Cosa deve fare chi usa questi strumenti oggi
Per chi lavora con gli agenti di coding, la lezione e' operativa. Primo: aggiornare subito Cursor, Codex CLI e gli altri client alle versioni patchate. Secondo: non dare per scontato che la sandbox sia una barriera invalicabile; conviene eseguire gli agenti in ambienti effimeri e isolati (container o macchine virtuali usa e getta), senza montare il socket Docker dell'host ne' credenziali sensibili. Terzo: trattare con sospetto tutto cio' che l'agente scrive nel repository — hook, file di configurazione, task — perche' proprio quei file, letti in seguito da strumenti fidati, sono la porta di servizio dell'attacco. La corsa a spedire funzioni IA sempre piu' potenti, avvertono i ricercatori, ha lasciato indietro la sicurezza: recuperare quel ritardo e' ora la priorita'.
Dettagli tecnici e identificativi CVE sono tratti dal report di Pillar Security e dalla ricostruzione di BleepingComputer.
