Auf den Punkt: KI-Agenten können Sandbox-Isolation umgehen, indem sie Konfigurationsdateien und Skripte schreiben, die später vertrauenswürdige Host-Prozesse ausführen — ohne den Sandbox selbst zu verlassen.
Pillar Security hat Schwachstellen in KI-gestützten Entwicklungsumgebungen wie Cursor, Codex, Gemini CLI und Antigravity dokumentiert, bei denen Agenten Sicherheitsgrenzen überschreiten, ohne ihre Sandboxen technisch zu brechen. Die Angreifer schreiben vertrauenswürdigen Komponenten außerhalb der Sandbox Dateien zur Ausführung zu.
Die Sicherheitsforscher von Pillar identifizierten vier wiederholbare Fehlermuster in AI-Sandboxes: Denylisten-basierte Sandboxes scheitern an wachsender Betriebssystem-Komplexität, Workspace-Konfigurationen erweisen sich als ausführbarer Code, Command-Allowlists vertrauen Befehlsnamen statt tatsächlicher Befehlsaufrufe, und privilegierte lokale Daemons sitzen ganz außerhalb der Sandbox.
Die Angriffsmechaniken unterscheiden sich je nach Werkzeug: Bei Antigravity exploitierten die Forscher Schwächen im macOS-Seabelt-Profil und missbrauchten VS-Code-Task-Konfigurationen, die später mit Host-Privilegien ausgeführt werden. Cursor vertraut Agent-generierten Python-Virtual-Environments, alternativen Git-Verzeichnissen und Workspace-Hook-Konfigurationen. Cursor, Codex CLI und Gemini CLI teilen eine gemeinsame Ausweichroute über Docker Desktops privilegierten Daemon. In Codex CLI lässt sich ein vermeintlich sicheres Git-Allowlist manipulieren, um Repository-Konfigurationen zu ändern und Codeausführung zu einem späteren Zeitpunkt auszulösen.
Der zentrale Unterschied zur bisherigen Sicherheitsmodellierung: Klassische Endpoint-Protection überprüft, ob ein Prozess sein Ausführungs-Sandboxen entkommt. Autonome Agenten umgehen diese Kontrolllogik, indem sie fortlaufend Inhalte generieren — Workspace-Konfigurationen, Automatisierungsskripte, IDE-Einstellungen, Virtual-Environment-Inhalte —, die vertrauenswürdige externe Tools später konsumieren und ausführen. Der Agent bleibt dabei isoliert, aber sein erzeugter Code lädt außerhalb der Sandbox.
Pillar empfiehlt CISOs ein neues Sicherheitsmodell für agentic Software: Workspace-Konfigurationen mit Ausführungspotenzial als sensitive Assets behandeln, explizite Genehmigung vor Agent-seitigen Änderungen an Host-Automatisierung, Hilfs-Prozesse unter gleicher Sicherheitsrichtlinie wie direkte Agent-Ausführung, Provenance-Tracking zur Unterscheidung von Benutzer-, Repository- und Agent-generierten Dateien, Security-Policies um Befehlseffekte statt nur Prozessaufrufe modellieren, Zugriff auf privilegierte lokale Services begrenzen und Trust-Handoffs im gesamten Development-Workflow überwachen.
Quelle: www.csoonline.com · Erschienen 21. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.