Como um sandbox escape ocorre sem quebrar a sandbox
Um sandbox escape é a técnica onde o agente de IA sai do ambiente isolado sem atacar esse ambiente diretamente. O mecanismo é mais simples do que parece.
IDEs e ferramentas de codificação com IA — Cursor, Codex da OpenAI, Gemini CLI do Google — estabelecem uma linha clara: o agente opera dentro do workspace do projeto, o sistema operacional do desenvolvedor fica do lado de fora. O problema é que essa linha é porosa em um sentido específico. Arquivos escritos dentro do workspace são lidos por ferramentas que rodam fora. Extensões Python resolvendo intérpretes, integrações Git verificando repositórios, VS Code executando arquivos de tarefa.
Um arquivo que o agente escreve pode virar um comando que o sistema operacional executa. O sandbox escape não viola nenhuma regra interna — ele explora a confiança que as ferramentas externas depositam no conteúdo do workspace.
A equipe da Pillar Security (Eilon Cohen, Dan Lisichkin e Ariel Fogel) documentou sete variações dessa classe de falha em quatro ferramentas de três fornecedores ao longo de vários meses, publicando um relatório por dia em sua série Week of Sandbox Escapes. O número de usuários potencialmente expostos soma dezenas de milhões, dado o tamanho da base instalada do Cursor e do Codex.
O que foi comprometido e o que está corrigido
Os quatro produtos afetados têm correções liberadas:
Cursor: três falhas de sandbox escape distintas. A mais grave (CVE-2026-48124) usava o hook controlado pelo workspace para execução não contida, corrigida na versão 3.0.0. As outras duas envolviam manipulação do interpretador Python via virtualenv e disparo de comandos via metadados Git.
Codex CLI (OpenAI): a lista de permissão segura confiava no nome do comando git show sem verificar os argumentos reais da chamada. Corrigido na versão 0.95.0, com recompensa de alta severidade paga pela OpenAI.
Gemini CLI: o socket do Docker local — um daemon privilegiado acessível pelos agentes — virou vetor de sandbox escape simultâneo para três produtos. O Google corrigiu o problema mas classificou outros dois achados (no Antigravity) como de menor severidade, argumentando que exigem engenharia social.
O mesmo padrão já havia sido documentado em abril de 2026 pela Cymulate em Claude Code, Codex e Gemini CLI. O que os dados de setembro mostram é a amplitude: quatro ferramentas, três fornecedores, mesma técnica.
Por que isso importa para o seu negócio
Se você usa ou planeja usar agentes de IA para desenvolvimento na sua empresa, a superfície de ataque não é mais o sistema da empresa. É o computador do desenvolvedor que roda o agente.
O sandbox escape funciona por prompt injection: uma instrução maliciosa plantada em um README, issue, dependência ou diff pode virar um comando executado no host sem que ninguém perceba. Para dados sensíveis ou acesso a sistemas internos, um agente comprometido é tão perigoso quanto qualquer outra forma de acesso não autorizado.
As ações práticas são diretas: manter as ferramentas atualizadas (Cursor 3.0.0+, Codex CLI 0.95.0+), revisar permissões do Docker local e tratar qualquer conteúdo externo que o agente lê como potencialmente hostil. A BleepingComputer acompanha atualizações de segurança para ferramentas de IA com regularidade.
Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.
Fonte: Google News — AI (EN)
