Cursor、Codex、Gemini CLI、Antigravityでサンドボックス脱出が発覚

セキュリティ研究者らは、Cursor、OpenAIのCodex、GoogleのGemini CLI、Antigravityという広く使われている4種類のAIコーディングエージェントにおいて、サンドボックスを正面から攻撃することなく脱出に成功しました。

エージェント自体はボックスの中にとどまり、あらゆるルールに従います。ただ、ボックスの外にある信頼済みのツールが後から実行・読み込み・スキャンするファイルを書き込むだけで、脱出が自然に発生してしまうのです。

脱出手法の仕組み

Pillar SecurityのリサーチチームであるEilon Cohen氏、Dan Lisichkin氏、Ariel Fogel氏は、数か月かけてこれらのバイパス手法を再現し、本日「Week of Sandbox Escapes」と題した連続記事として、1日1本のペースで公開しました。

これらのサンドボックスは単純な境界線を引いています。プロジェクトのワークスペース内ではエージェントが信頼され、その外側のホストは保護される、というものです。

問題は、ワークスペース内のファイルが決して無害な存在ではない点です。サンドボックスの外側で動くツールがこれらのファイルを読み取って動作するため、エージェントに書き込みが許可されているファイルが、後にホストが実行するコマンドへと変わり得るのです。

IDEやCLIエージェントは、サンドボックスの外側で独自のツールを常時実行しています。インタープリタを解決するPython拡張機能、リポジトリをスキャンするGit連携機能、タスクファイルを実行するVS Code、コマンドを発火するフックエンジン、ローカルソケットを公開するDocker Desktopなどです。

サンドボックス化されたエージェントは、与えられたルールをすべて守りながらも、これらのコンポーネントが読み込むファイルの中身を意のままに形作ることができてしまいます。

この脱出の引き金となるのがプロンプトインジェクションです。READMEやissue、依存関係、diffの中に仕込まれた悪意ある指示が、開発者のマシン上でのローカルな動作へと変わってしまいます。

Pillarは今回の7件の発見を、4つの失敗パターンに分類しています。

• OSの変化に追随しきれないデナイリスト方式のサンドボックス
• 実質的に実行可能コードとなっているワークスペース設定
• コマンドの引数ではなく名前だけを信頼する「安全な」コマンド許可リスト
• サンドボックスの外側に完全に位置する特権ローカルデーモン

バグとその修正状況

問題の大半はすでに修正済みで、ベンダー側も確認済みです。

Cursorでは、ワークスペース側が制御できる.claudeフックの設定が、サンドボックスを経由しないコマンド実行につながっていました。この問題は現在CVE-2026-48124として管理されており、バージョン3.0.0で修正されています。

2件目のCursorのバグでは、エージェントがvirtualenvのインタープリタを編集できてしまい、エディタのPython拡張機能がディスカバリー処理中にそれを自動的に実行してしまうというものでした。

3件目は、Gitのメタデータが必ずしも.gitという名前のフォルダに存在する必要がないという性質を悪用したものです。fsmonitorを通じて実行を発火させ、Cursorのパスベースのルールをすり抜けていました。この問題は3.0.0で修正済みで、CVE番号は付与待ちです。

Codex CLIでは、「安全な」コマンド許可リストがgit showというコマンド名を信頼していましたが、実際の呼び出し内容は読み取り専用ではありませんでした。OpenAIはv0.95.0でこれを修正し、深刻度の高いバグとしてバウンティを支払っており、CVE番号は付与待ちです。

Dockerソケットに関するある発見は、Codex、Cursor、Gemini CLIの3つに同時に影響していました。エージェントがアクセスできてしまう特権ローカルデーモンが、サンドボックスを経由せずにコードを実行できる場所になっていたのです。この問題は現在修正済みです。

Googleは自社の2件を格下げ評価に

Antigravityに関する2件の発見、すなわちmacOSのSeatbeltにおけるデナイリストのバイパスと、.vscodeのタスク設定によるSecure Modeのバイパスに対しては、Googleの対応は冷ややかなものでした。

Pillarによれば、Googleはこの両方を「その他の有効なセキュリティ脆弱性」に分類し、格下げを適用しました。ソーシャルエンジニアリングや、間接的なプロンプトインジェクションを含むリポジトリをユーザーが信頼する必要があるため、悪用は難しいと判断したためです。

もっとも、Pillarによれば、Google側のチームはこの調査結果自体は高く評価しており、あるレポートを「卓越した品質」だとするフィードバックがあったといいます。

古くて新しい、より広範な問題

この根本的な問題自体は、決して目新しいものではありません。4月にCymulateは、Claude Code、Gemini CLI、Codex CLIにまたがって同様のパターンを文書化しており、これを「設定ベースのサンドボックス脱出」と名付けていました。サンドボックス内で書き込まれたファイルが、次回起動時にホスト上で実行されてしまうというものです。

新しいのはその広がりです。同じ失敗パターンが3社にまたがる4つのツールで確認されたという事実こそ、エージェント型コーディングツールの採用を検討する人々にとって、より重要な示唆となります。

Pillarが示す対策は、禁止ファイル名のリストをさらに追加することではありません。信頼済みのローカルツールが、エージェントの書き込んだものを実行する瞬間そのものを監視する、というアプローチです。