Cursor, Codex, Gemini CLI, dan Antigravity Kena Sandbox Escape
Peneliti keamanan menemukan serangkaian teknik sandbox escape yang berdampak pada empat AI coding agent populer, yaitu Cursor, OpenAI Codex, Google Gemini CLI, dan Antigravity. Menariknya, eksploitasi ini tidak menyerang sandbox secara langsung.
Dalam skenario yang dijelaskan peneliti, agent tetap berada di dalam sandbox dan mematuhi aturan yang diberikan. Namun, agent dapat menulis file ke workspace proyek, lalu file tersebut kemudian dijalankan, dimuat, atau diproses oleh tool tepercaya yang berada di luar sandbox.
Pola ini membuat batas keamanan menjadi lebih rumit. Sandbox memang membatasi agent, tetapi file yang dibuat di dalam workspace tidak selalu pasif. IDE, CLI, extension, integrasi Git, task runner, hingga daemon lokal dapat membaca dan bertindak berdasarkan file tersebut.
Riset Pillar Security menunjukkan bahwa prompt injection dapat menjadi pemicu awal. Instruksi berbahaya yang disisipkan ke README, issue, dependency, atau diff dapat berubah menjadi aksi lokal pada mesin developer ketika agent menulis konfigurasi atau file tertentu.
Para peneliti mengelompokkan tujuh temuan tersebut ke dalam empat mode kegagalan. Pertama, sandbox berbasis denylist yang sulit mengejar kompleksitas sistem operasi. Kedua, konfigurasi workspace yang pada praktiknya dapat menjadi kode yang dieksekusi. Ketiga, allowlist command yang mempercayai nama perintah tanpa cukup memeriksa argumennya. Keempat, daemon lokal berhak tinggi yang berjalan di luar sandbox.
Pada Cursor, salah satu bug memungkinkan konfigurasi hook .claude yang dikendalikan workspace berubah menjadi eksekusi perintah tanpa sandbox. Celah ini dilacak sebagai CVE-2026-48124 dan telah diperbaiki pada versi 3.0.0.
Temuan lain pada Cursor memungkinkan agent mengubah interpreter virtualenv yang kemudian dijalankan oleh extension Python editor saat proses discovery. Bug ketiga memanfaatkan fakta bahwa metadata Git tidak harus selalu berada di folder bernama .git, sehingga eksekusi melalui fsmonitor dapat melewati aturan berbasis path.
Di Codex CLI, masalah ditemukan pada allowlist perintah yang menganggap git show aman berdasarkan namanya. Pada praktiknya, invocation yang terjadi tidak sepenuhnya read-only. OpenAI telah memperbaiki masalah tersebut pada versi 0.95.0 dan memberikan bounty tingkat high severity, sementara CVE masih menunggu.
Satu temuan lain berdampak lintas tool pada Codex, Cursor, dan Gemini CLI. Dalam kasus ini, Docker socket lokal yang memiliki privilege tinggi dapat dijangkau oleh agent, sehingga menjadi tempat eksekusi kode di luar sandbox. Masalah tersebut juga telah diperbaiki.
Untuk Antigravity, peneliti melaporkan dua temuan kepada Google, yaitu bypass denylist macOS Seatbelt dan bypass Secure Mode melalui konfigurasi task .vscode. Google mengklasifikasikan keduanya sebagai valid security vulnerabilities, tetapi menurunkan tingkat keparahan karena dinilai membutuhkan social engineering atau pengguna yang mempercayai repository berisi prompt injection tidak langsung.
Masalah semacam ini bukan sepenuhnya baru. Sebelumnya, riset lain telah mendokumentasikan pola serupa sebagai configuration-based sandbox escape, ketika file yang ditulis di dalam sandbox dapat dieksekusi oleh host pada peluncuran berikutnya.
Yang membuat temuan terbaru ini penting adalah luasnya dampak. Pola kegagalan yang sama muncul di beberapa tool dari vendor berbeda, menandakan bahwa keberadaan sandbox saja belum cukup untuk mengamankan alur kerja agentic coding.
Bagi organisasi yang mulai mengadopsi AI coding agent, evaluasi keamanan perlu melihat apa yang terjadi setelah agent menulis file ke workspace. Pertanyaan utamanya bukan hanya apakah agent berjalan di sandbox, tetapi tool apa saja di luar sandbox yang mempercayai dan mengeksekusi artefak yang ditinggalkan agent.
Sumber: Pillar Security
