“借刀杀人”的新型越狱：四大主流 AI 编程代理集体曝出沙箱逃逸漏洞

“借刀杀人”的新型越狱：四大主流 AI 编程代理集体曝出沙箱逃逸漏洞

网络安全研究团队 Pillar Security 最新披露，Cursor、OpenAI Codex、Google Gemini CLI 及 Antigravity 四款主流 AI 编程代理均存在沙箱逃逸安全隐患。攻击者无需强行破解沙箱本身，只需在开源仓库的 README、Issue、依赖库或代码差异中植入恶意提示（间接提示注入），诱导 AI 代理在项目工作区写入看似正常的配置文件、虚拟环境或命令指令。由于主机系统上的 IDE 与 CLI 工具链（如 Python 解释器、Git 机制、任务引擎等）会定期自动读取并信任工作区文件，这些“留在盒子内”的文件便会在沙箱之外被直接加载运行，导致攻击者无需正面攻破隔离层即可在开发者本地实现任意代码执行。

该漏洞揭示了白名单仅校验命令名、沙箱外特权服务暴露等设计盲区，目前厂商已陆推送修复（如 Cursor 升至 3.0.0、Codex CLI 升至 v0.95.0）。不过，Google 对 Antigravity 的两项漏洞做降级处理，认为其利用需配合社工攻击诱导信任恶意仓库。这一事件表明，单纯搭建隔离沙箱已不安全，监控本地工具对工作区生成物的盲目调用将成为新的防护重点。

bleepingcomputer