Auf den Punkt: Sandbox-Escapes in KI-Agenten ermöglichen Angreifern, durch von der KI geschriebene Dateien Code auf dem Host-System auszuführen, nachdem sie die Sandbox verlassen haben.
Sicherheitsforscher haben Sandbox-Ausbrüche in mehreren KI-Agenten und Entwickler-IDEs demonstriert, indem sie das KI-Modell dazu brachten, Dateien zu schreiben, die danach von vertrauten Host-Tools ausgeführt wurden. Mehrere CVEs wurden registriert, Patches verteilt und Google hat zwei Findings zur Antigravity-Plattform herabgestuft.
Forscher haben gezeigt, dass mehrere KI-gestützte Entwicklerwerkzeuge – darunter Cursor, OpenAI Codex, Google Gemini CLI und Antigravity – anfällig für Sandbox-Escape-Angriffe sind. Der Angriffsvektor nutzt eine zentrale Schwachstelle: KI-Agenten, die in isolierten Sandboxen laufen, schreiben Dateien auf das Hostsystem, die dann von lokalen Tools ausgeführt werden, welche diese Dateien als vertrauenswürdig behandeln.
Das Sicherheitsrisiko entsteht durch die Architektur dieser Systeme: Der KI-Agent erhält die Möglichkeit, Code oder Konfigurationsdateien zu generieren und zu speichern. Wenn nachgelagerte Prozesse diese Dateien automatisch ausführen – etwa beim Starten von Build-Tools, Virtualisierungssoftware oder Skript-Interpretern – kann ein Angreifer durch gezielte Prompts die KI dazu bringen, schädliche Inhalte einzuschleusen. Die Sandbox wird damit umgangen, da die Ausführung außerhalb ihrer Kontrolle stattfindet.
Mehrere CVEs wurden zur Behebung registriert und Patches sind bereits verfügbar oder in Arbeit. Google hat zusätzlich zwei der gegen Antigravity eingereichten Findings herabgestuft, möglicherweise aufgrund von Mitigationen oder abweichender Risikobewertung. Für CISOs bedeutet dies, dass KI-basierte Entwickler-Tools in der Infrastruktur kritisch überprüft werden müssen – insbesondere wo sie auf lokale Dateisysteme und Ausführungsumgebungen zugreifen.
Quelle: www.bleepingcomputer.com · Erschienen 20. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.