Исследователи из Pillar Security обнаружили, что ИИ-агенты, работающие в таких инструментах, как Cursor, Codex, Gemini CLI и Antigravity, могут обходить границы песочницы, не взламывая её напрямую. Вместо использования эксплойтов ядра или контейнеров, атаки основаны на косвенных механизмах.
«Почти во всех случаях агенту не нужно было взламывать песочницу напрямую, — отметили исследователи. — Ему достаточно было записать нечто, что доверенный компонент за пределами песочницы позже запустит, загрузит, просканирует или сочтёт безопасным».
Четыре типовых сценария обхода
В ходе исследования были выявлены четыре повторяющихся типа уязвимостей в песочницах ИИ:
- Недостатки денлист-песочниц на фоне усложнения ОС;
- Рабочие конфигурации, которые оказываются исполняемым кодом;
- Доверие к именам команд вместо их полных вызовов;
- Привилегированные локальные демоны, находящиеся вне песочницы.
«CISO и специалистам по безопасности нужно понимать, что наличия песочницы в агентной IDE или CLI недостаточно, — подчёркивают исследователи. — Важно знать, где именно проходит реальная граница песочницы».
Косвенный механизм атаки
Во всех продемонстрированных атаках агент оставался внутри песочницы, но создавал файлы, которые затем обрабатывались доверенными приложениями на стороне хоста. Это могут быть конфигурации рабочего пространства, скрипты автоматизации, настройки IDE или содержимое виртуальных окружений — всё, что естественно участвует в рабочем процессе разработчика. Когда внешние инструменты запускают или интерпретируют эти файлы за пределами песочницы, код, созданный внутри изолированной среды, фактически пересекает границу безопасности, не нарушая правил песочницы.
Pillar продемонстрировала эту схему на нескольких инструментах. В Antigravity использовались слабости macOS-профиля Seabelt и конфигурации задач VS Code, которые выполнялись вне песочницы. В Cursor были показаны доверенные Python-виртуальные окружения, альтернативные Git-директории и хуки рабочего пространства, запускавшиеся с привилегиями хоста.
Также была обнаружена общая уязвимость в Cursor, Codex CLI и Gemini CLI через привилегированный демон Docker Desktop, позволяющая агентам выполнять команды вне ограниченной среды. В Codex CLI манипуляции с Git-списком разрешённых команд позволяли изменять конфигурацию репозитория и позже запускать код.
Pillar утверждает, что предприятиям нужна новая модель безопасности для агентного ПО. Традиционные endpoint-защиты фокусируются на том, может ли процесс покинуть среду выполнения, но автономные агенты бросают вызов этому подходу, постоянно генерируя новые артефакты.
Источник: medium.com
Дополнительные источники: csoonline.com, aisi.gov.uk, rye.ai, tomshardware.com, redcaller.com, labs.cloudsecurityalliance.org, cnn.com, adversa.ai