Gli agenti di intelligenza artificiale dedicati alla programmazione possono essere indotti a collaborare con un attaccante, trasformando una normale attività di sviluppo in un percorso per compromettere il sistema sottostante. I ricercatori di sicurezza di Pillar hanno dimostrato che alcuni dei principali AI coding agent sono riusciti a riprodurre tecniche di sandbox escape e aggiramento dei confini di sicurezza che dovrebbero limitarne l’azione.
Il possibile attacco parte da un elemento apparentemente ordinario: un repository malevolo contenente istruzioni nascoste in un file README, in una dipendenza o in un altro componente del progetto. Lo sviluppatore viene indotto a utilizzare il repository, mentre le istruzioni spingono l’agente a creare o modificare un file di configurazione. Poiché le operazioni avvengono interamente nel workspace, il comportamento può non generare allarmi immediati.
Il passaggio decisivo avviene quando un componente host esterno alla sandbox — per esempio un’integrazione Git, un’estensione dell’ambiente di sviluppo o un daemon locale — legge la configurazione alterata ed esegue i comandi inseriti dall’attaccante. Il codice non opera più con i limiti assegnati all’agente AI, ma con i privilegi del sistema fidato che ha elaborato quel file. Il confine della sandbox viene così aggirato indirettamente.
Pillar ha esaminato più metodi capaci di produrre lo stesso risultato. Nel corso di alcuni mesi, Cursor, Codex, Gemini CLI e Antigravity si sono dimostrati in grado di riprodurre fughe dalla sandbox o superamenti delle barriere previste. Il problema non riguarda quindi soltanto l’esecuzione diretta di codice, ma anche la possibilità per l’agente di preparare gli input che saranno successivamente consumati da strumenti più privilegiati.
Tre delle quattro piattaforme hanno corretto le vulnerabilità comunicate. Cursor 3.0.0 ha risolto più falle, tra cui quella identificata come CVE-2026-48124 e un’altra registrata attraverso un avviso di sicurezza GitHub. Codex CLI 0.95.0 ha introdotto la propria correzione, pur restando in attesa dell’assegnazione di un CVE. Anche il problema di Gemini CLI legato al daemon Docker risulta risolto attraverso l’advisory GHSA-v4xv-rqh3-w9mc.
Per Antigravity, Google ha riconosciuto come valide entrambe le segnalazioni relative all’aggiramento della sandbox, classificandole però come altre vulnerabilità di sicurezza valide e riducendone la gravità. La valutazione deriva dall’apparente difficoltà di sfruttamento. Rimane così una differenza tra il riconoscimento tecnico del problema e la stima della probabilità che possa essere trasformato in un attacco concreto.
Per le imprese che introducono agenti di coding nei flussi di sviluppo, il modello di sicurezza non può fermarsi ai permessi concessi direttamente all’AI. Devono essere considerate anche le configurazioni che l’agente può modificare e i programmi esterni che le leggeranno in seguito. La conclusione di Pillar è che il confine atteso — agente dentro la sandbox e utente fuori — diventa più poroso quando l’agente può scrivere i futuri input di altri sistemi. In quel momento, l’isolamento formale rischia di non coincidere più con quello effettivo.