- Pillarの研究者がAIコーディングエージェントにおけるサンドボックス脱出を実証
- 攻撃者が用意した設定ファイルを信頼済みホストの権限で実行できる不具合
- エージェント型AIのセキュリティには専用の脅威モデルが必要と研究者は指摘
AIコーディングエージェントを騙して、運用者に牙をむかせ、攻撃者による基盤システムの侵害を手助けさせることが可能だと専門家が警告しています。
セキュリティ研究機関Pillarは同様の結果を導き出す複数の手法を検証し、数か月にわたる調査の結果、Cursor、Codex、Gemini CLI、Antigravityのいずれについても、サンドボックス脱出や境界回避を再現できることを突き止めました。
理論上、脅威アクターは悪意あるコンテンツ(例えばREADMEファイルや依存パッケージなど)を含むリポジトリを作成し、開発者を騙してそれを使わせることができます。悪意ある指示によってエージェントがプロジェクトの設定ファイルを作成・改変するよう仕向けられますが、こうした操作はすべてワークスペース内で完結するため、警告は一切発生しません。
問題への対処
その後、サンドボックス外にあるホストコンポーネント(Git連携機能、IDE拡張機能、あるいはローカルデーモンなど)がその改変済み設定ファイルを読み込み、攻撃者が仕込んだコマンドを実行してしまいます。その結果、コードは権限を制限されたAIエージェントではなく、信頼済みホストコンポーネントの権限で実行されることになります。こうして、本来のサンドボックス境界は事実上突破されてしまうのです。
報告書で言及された4つのプラットフォームのうち3つは、すでに開示された問題を修正済みだとPillarは述べています。
Cursorはバージョン3.0.0で複数の脆弱性を修正し、そのうち1件にはCVE-2026-48124が割り当てられ、もう1件はGitHub Security Advisoryを通じて追跡されています。Codex CLIはバージョン0.95.0で修正済みですが、CVE番号の割り当てはまだ待っている状態だと強調しています。Gemini CLIはDockerデーモンに関する問題の影響を受けていましたが、これについてもアドバイザリGHSA-v4xv-rqh3-w9mcを通じて既に修正されたと報告書は述べています。
Antigravityについては、Googleは報告された2件のサンドボックス回避をいずれも有効なセキュリティ上の発見と認めたものの、「その他の有効なセキュリティ脆弱性」に分類し、深刻度を引き下げました。どうやら、悪用は比較的困難だと判断しているようです。
「エージェントの話になると、開発者がコーディングツールに期待するサンドボックス境界――エージェントを内側に留め、ユーザーを外側に置くという境界――が崩れてしまいます」とPillarは結論付けています。「私たちが繰り返し発見した境界は、より雑然としており、より穴だらけでした。なぜなら、エージェントがシステムへの将来の入力を書き換えられるのであれば、そもそもサンドボックス化などされていなかったことになるからです」
「だからこそ、エージェント型AIのセキュリティには専用の脅威モデルが必要なのです」
