Los agentes de codificación de IA están escapando de su zona de pruebas, según un estudio
Las herramientas son Cursor, Codex de OpenAI, CLI Gemini de Google y AntiGravity. En el transcurso de varios meses, Pilar encontró una manera de eludir los límites de seguridad de cada agente, técnicamente, mientras aún estaba dentro de la caja de seguridad.
escapar no es lo mismo
El truco es genial. Estos entornos sandbox confían en el agente dentro de la carpeta del proyecto y protegen el host externo. Pero los archivos de esa carpeta no son estáticos.
Las herramientas que se ejecutan fuera del entorno sandbox los leen. Una extensión de Python se resuelve en un intérprete, una integración de Git escanea un repositorio y Docker Desktop expone un socket local. Por lo tanto, el archivo escrito en el agente puede convertirse en un comando ejecutado más tarde por el host, como explica Bleeping Computer.
El desencadenante es la inyección inmediata. Una directiva maliciosa para ocultar un archivo README, un problema, una dependencia o una diferencia se convierte en una acción real en la máquina del desarrollador.
Siete errores, cuatro patrones
Espacio de coworking de TNW City: donde ocurre tu mejor trabajo
Un espacio de trabajo diseñado para el crecimiento, la colaboración y un sinfín de oportunidades de networking en el corazón de la tecnología.
Peeler clasifica los siete resultados en cuatro modos de falla: negadores que no pueden coincidir con el sistema operativo, configuraciones de espacio de trabajo que en realidad son código, listas de comandos "seguras" que confían en un nombre en sus argumentos y demonios locales privilegiados que están completamente listos para usar.
En Cursor, una configuración de enlace de espacio de trabajo que ejecuta comandos no aislados ahora tiene el parche CVE-2026-48124, versión 3.0.0. OpenAI solucionó un error del códice en el que no había un comando git "seguro" y proporcionó una subvención. Un error de Docker-Socket afectó a Cursor, Codex y Gemini CLI todos a la vez.
Google se sorprendió
La respuesta de Google se mantiene. Clasificó ambas sondas antigravedad como "otras vulnerabilidades de seguridad legítimas", redujo su gravedad a difícil de explotar y no las parchó, informó Newwin. Pero calificó el informe de "calidad excepcional".
La respuesta de Pillar es que "difícil de absorber" está trabajando mucho. Los errores requieren que el desarrollador confíe en el depósito tóxico, que es el riesgo diario de estos agentes.
El agente es el nuevo punto final
Lo más importante es un cambio de mentalidad. El radio de explosión de un agente, sostiene Peeler, no es un proceso de agente. Más tarde, el anfitrión cree lo que escribe el agente.
"Si un agente puede escribir entradas futuras al sistema, en primer lugar, nunca estuvo protegido", escribió el equipo. El patrón no es nuevo, pero su amplitud sí lo es: cuatro herramientas, tres vendedores. Aterrizó la misma semana que OpenAI reveló que su propio modelo estaba saliendo de su entorno de pruebas, como parte de un análisis más amplio sobre la seguridad de los agentes de IA.
¿Ahora qué preguntas?
Para cualquiera que elija una herramienta de codificación agente, la pregunta útil ha cambiado. El agente ya no tiene un entorno limitado. Qué sucede con los archivos que deja y quién los ejecuta.
