Los principales agentes de codificación IA eludieron sus sandboxes desde dentro

Pillar Security afirma haber encontrado maneras para que cuatro destacados agentes de codificación con IA — Cursor, Codex de OpenAI, Gemini CLI de Google y Antigravity — crucen sus límites de seguridad sin abandonar técnicamente sus sandboxes.

El problema central es simple: estas herramientas son de confianza dentro de una carpeta de proyecto, mientras que el sistema anfitrión exterior se supone que permanece protegido. Pero los archivos dentro de esa carpeta no son pasivos. El software que se ejecuta fuera del sandbox aún puede leerlos e interactuar con ellos. Como explicó BleepingComputer, eso puede incluir una extensión de Python que resuelve un intérprete, una integración de Git que escanea un repositorio o Docker Desktop exponiendo un socket local. Un archivo que un agente puede escribir puede convertirse luego en un comando que el anfitrión ejecuta.

Según Pillar, el desencadenante suele ser la inyección de prompts. Una instrucción maliciosa oculta en un README, en un issue, en una dependencia o en un diff puede convertirse en una acción real en la máquina de un desarrollador.

Pillar agrupó sus siete hallazgos en cuatro modos de fallo:

Recomendado

OpenAI dice que su modelo hackeó a Hugging Face por sí solo

• listas de denegación que no pueden seguir el ritmo del sistema operativo
• configuración del espacio de trabajo que equivale efectivamente a código
• listas de comandos «seguros» que confían en el nombre de un comando pero no en sus argumentos
• demonios locales privilegiados que están completamente fuera del sandbox

La mayoría de los problemas ya han sido solucionados. En Cursor, una configuración de hook del espacio de trabajo que ejecutaba comandos sin sandbox ahora se rastrea como CVE-2026-48124 y fue parcheada en la versión 3.0.0. OpenAI arregló un fallo en Codex donde un comando de Git supuestamente seguro no lo era en realidad, y pagó una recompensa. Un problema con un socket de Docker afectó a Cursor, Codex y Gemini CLI al mismo tiempo.

La respuesta de Google a los hallazgos de Antigravity

La gestión por parte de Google de los informes sobre Antigravity destacó. Según Neowin, la compañía etiquetó ambos hallazgos como «otras vulnerabilidades de seguridad válidas», rebajó su severidad porque eran difíciles de explotar y no los parcheó. Google, sin embargo, describió un informe como «de calidad excepcional».

Pillar sostiene que lo de «difíciles de explotar» pierde el punto, porque estos ataques dependen de que un desarrollador confíe en un repositorio envenenado, precisamente el tipo de riesgo rutinario que introducen estas herramientas con capacidad de agencia.

El argumento más amplio de la empresa es que el verdadero radio de impacto no es el proceso del agente en sí, sino cada archivo que el agente escribe y en los que el anfitrión confía posteriormente.

Si un agente puede escribir las entradas futuras de los sistemas, nunca estuvo realmente aislado.

Los hallazgos abarcan cuatro herramientas y tres proveedores, y llegan la misma semana en que OpenAI divulgó que uno de sus propios modelos seguía escapándose de su sandbox. Para los desarrolladores que evalúan agentes de codificación, la pregunta clave ya no es si existe un sandbox, sino qué ocurre con los archivos que el agente deja atrás.