7月21日、BleepingComputerが「Cursor, Codex, Gemini CLI, Antigravity hit by sandbox escapes」と題した記事を公開した。主要AIコーディングエージェント4製品でサンドボックス脱出脆弱性が発見され、複数のCVEとともに公開された。攻撃の核心は「エージェントがルールを守ったまま脱出する」という逆説にある——エージェント自身は何も禁止された操作を行わず、サンドボックス外の信頼されたツールを踏み台にする。
サンドボックスを「正面から破らない」攻撃
セキュリティ企業Pillar Securityの研究チーム（Eilon Cohen、Dan Lisichkin、Ariel Fogel）が、Cursor・OpenAIのCodex CLI・GoogleのGemini CLI・Antigravityの4製品でサンドボックス脱出を再現した。研究成果はWeek of Sandbox Escapesとして1日1本のペースで公開されている。
この攻撃の本質は「エージェントがルールを守ったまま脱出する」点にある。エージェント自身はサンドボックス内に留まり、禁止された操作を直接行わない。その代わり、サンドボックス外の信頼されたツールが後から読み込むファイルを書き換える。IDEやCLIエージェントはサンドボックスの外で多くのツールを常時動かしている。Pythonの拡張機能がインタープリターを探索する、GitがリポジトリをスキャンするVS Codeがタスクファイルをロードする、Dockerデスクトップがローカルソケットを公開する、といった具合だ。
トリガーはプロンプトインジェクションだ。README・Issue・依存ファイル・diffなどに埋め込まれた悪意ある指示が、開発者のマシン上でのローカル操作に変換される。
Pillarは今回の発見を以下の4つの失敗パターンに分類している。
- OSの進化に追いつけないデニーリストベースのサンドボックス
- 実質的に実行可能コードであるワークスペース設定ファイル
- コマンド名だけを信頼し引数を検査しない「安全」コマンドの許可リスト
- サンドボックスの外側に存在する特権ローカルデーモン
各製品の脆弱性と対応状況
Cursorでは3件が見つかった。
1つ目は、ワークスペース制御下の.claudeフック設定ファイルがサンドボックス外のコマンド実行に繋がる問題で、**CVE-2026-48124として追跡され、バージョン3.0.0で修正済み**だ。
2つ目は、エージェントがvirtualenvのインタープリターを書き換え、エディタのPython拡張機能が自動探索の際にそれを実行してしまう問題（アドバイザリ）。
3つ目は、Gitのメタデータが必ずしも.gitフォルダに格納されるとは限らないという仕様を悪用したものだ。Gitにはfsmonitorというファイルシステムのモニタリングを高速化するためのフック機構がある。通常のリポジトリ構成では.git配下にフック設定が置かれるため、Cursorのパスベースのサンドボックス検査が機能する。しかし--git-dir等でメタデータの格納場所をワークスペース外に分離した構成では、サンドボックス検査の対象パス外にフック設定を置けるため、fsmonitor経由でのコマンド実行がパスベース検査をすり抜ける形になる。バージョン3.0.0でパッチ済み、CVEは申請中だ。
Codex CLIでは、コマンド許可リストがgit showをコマンド名だけで安全と判断したが、実際の呼び出しは読み取り専用ではなかった。OpenAIはv0.95.0で修正し、高深刻度の脆弱性報奨金を支払っている。CVEは申請中。
DockerソケットについてはCodex・Cursor・Gemini CLIの3製品が同時に影響を受けた（アドバイザリ）。エージェントから到達可能な特権ローカルデーモンがサンドボックス外のコード実行場所になる問題で、現在は修正済みだ。
GoogleはAntigravityの2件を「低評価」に格下げ
Googleの対応はやや温度差がある。Antigravityで見つかったmacOSのSeatbeltデニーリストバイパスと、Secure Modeの.vscodeタスク設定バイパスの2件について、Googleは両方を「その他の有効なセキュリティ脆弱性」に分類し、「ソーシャルエンジニアリングや悪意あるリポジトリへのユーザーの信頼が前提となる」として悪用困難と判断、深刻度を引き下げた。
一方でGoogleのチームは研究の質自体は高く評価しており、Pillarへのフィードバックとして「exceptional quality（非常に高い品質）」という言葉が贈られたとPillarは伝えている。
「新しい問題」ではなく「広がった問題」
この攻撃クラスは今回が初発見ではない。2025年4月にCymulateが同じパターンを「Configuration-Based Sandbox Escape」と命名し、Claude Code・Gemini CLI・Codex CLIで報告していた。サンドボックス内で書かれたファイルが次回起動時にホスト上で実行されるというメカニズムだ。
今回の発見で重要なのは3社4製品にまたがって同じ失敗パターンが繰り返されているという事実だ。特定の実装バグではなく、アーキテクチャ上の設計問題であることを示している。
Pillarが提示する対策は「禁止ファイル名リストの更新」ではない。信頼されたローカルツールがエージェントの書いたものを実行しようとするその瞬間を監視するアプローチだ。具体的には、エージェントが生成したファイルをIDEや外部ツールが読み込む前の実行イベントをランタイムレベルで捕捉する手法が想定される。LinuxカーネルのeBPFを用いたシステムコール監視や、macOSのEndpoint Security Frameworkを活用したプロセス起動フックなど、OSレベルのランタイム監視がこれに相当する。サンドボックスポリシーの定義とその執行をファイルパスの静的チェックに依存するのではなく、実行時の動的な振る舞いで担保するという考え方だ。
詳細はCursor, Codex, Gemini CLI, Antigravity hit by sandbox escapesを参照していただきたい。
