Sandbox

Pesquisadores de segurança da Pillar Security descobriram falhas em quatro agentes de codificação de IA amplamente utilizados: Cursor, Codex da OpenAI, Gemini CLI do Google e Antigravity. Essas falhas permitem que os agentes, que operam em um ambiente de sandbox, escapem sem atacar diretamente a proteção. Ao escrever arquivos que são posteriormente executados por ferramentas confiáveis fora do sandbox, os agentes conseguem contornar as restrições. O estudo, intitulado ‘Semana das Escapes de Sandbox’, apresenta uma série de descobertas que revelam como arquivos gerados dentro do ambiente de trabalho podem ser utilizados para executar comandos no sistema host. As falhas foram classificadas em quatro modos de falha, incluindo listas de negação que não acompanham as atualizações do sistema operacional e configurações de espaço de trabalho que são, na verdade, código executável. A maioria das vulnerabilidades já foi corrigida, com algumas sendo acompanhadas por números CVE. A resposta do Google a duas falhas no Antigravity foi considerada mais branda, classificando-as como de baixo risco devido à necessidade de engenharia social para exploração. Essa situação destaca a necessidade de uma vigilância constante e de testes rigorosos de segurança em ferramentas de codificação baseadas em IA.

Uma vulnerabilidade de severidade crítica foi identificada na biblioteca vm2, utilizada para criar um ambiente seguro para a execução de código JavaScript não confiável. A falha, rastreada como CVE-2026-22709, permite que atacantes escapem do sandbox e executem código arbitrário no sistema host. A biblioteca, que já foi amplamente utilizada em mais de 200 mil projetos no GitHub, foi descontinuada em 2023 devido a repetidas vulnerabilidades de escape de sandbox. No entanto, em outubro de 2023, o mantenedor Patrik Šimek decidiu reviver o projeto, lançando a versão 3.10.0, que corrigiu várias vulnerabilidades conhecidas. A nova falha surge da falha na sanitização adequada de ‘Promises’, permitindo que funções assíncronas retornem uma Promise global com callbacks que não são devidamente sanitizados. O mantenedor informou que a versão 3.10.1 abordou parcialmente a vulnerabilidade, enquanto a versão 3.10.2 aperfeiçoou a correção. Dada a facilidade de exploração da CVE-2026-22709, é recomendado que os usuários atualizem para a versão mais recente imediatamente. A biblioteca continua a ser popular, com cerca de um milhão de downloads semanais.