Forscher haben Sandboxes durchbrochen

Bei einer Sandbox handelt es sich um eine isolierte Arbeitsumgebung, in der KI-Modelle oder -Agenten gefahrlos eingesetzt werden können, ohne den Host zu gefährden. Es gibt allerdings einen Haken – denn Dateien innerhalb der Sandbox sind nicht inaktiv. Tools, die außerhalb laufen, können sie lesen und verarbeiten. So kann eine Datei, die der Agent schreiben darf, zu einem schädlichen Befehl werden, den der Host später ausführt. Wie Bleeping Computer berichtet, ist es einem Team von KI-Forscher:innen gelungen, die Sandboxes von vier weit verbreiteten KI-Agenten auf genau diesem Weg zu durchbrechen, darunter auch das beliebte Coding-Tool Cursor. Was hat das Forschungsteam herausgefunden? Das Forschungsteam von Pillar Security hat herausgefunden, dass ein KI-Agent, der innerhalb einer Sandbox ausgeführt wird, jede ihm auferlegte Regel befolgen und trotzdem Dateien beeinflussen kann, die von externen Komponenten gelesen werden. Denn viele Programme außerhalb der Sandbox lesen diese Dateien automatisch, darunter etwa Python-Erweiterungen. Der Agent schreibt also eine scheinbar harmlose Datei und ein anderes Programm macht daraus unbeabsichtigt einen ausführbaren Befehl. Der Ausbruch erfolgt, ohne dass der Agent direkt gegen eine Regel verstößt. Das Forschungsteam von Pillar Security hat diese Umgehungsmöglichkeiten über mehrere Monate hinweg reproduziert und die Ergebnisse unter dem Titel „Week of Sandbox Escapes“ veröffentlicht. Die insgesamt sieben Befunde konnten in vier Fehlermodi unterteilt werden: Konfigurationsdateien, die tatsächlich ausführbarer Code sind Sicherheitsregeln, die nur den Namen eines Befehls prüfen, nicht aber, was er tatsächlich tut Sandboxes auf Denylist-Basis, die mit dem Betriebssystem nicht Schritt halten privilegierte lokale Dienste, die sich vollständig außerhalb der Sandbox befinden Diese Sandbox-Probleme wurden behoben Betroffen waren Cursor, Codex von OpenAI sowie Gemini CLI und Antigravity von Google. Die meisten Schwachstellen wurden von den Anbietern bestätigt und sind inzwischen behoben. Bei Cursor führte eine durch den Arbeitsbereich gesteuerte Hook-Konfiguration zur Ausführung von Befehlen außerhalb der Sandbox. Dieser Fehler wird als CVE-2026-48124 geführt und ist in Version 3.0.0 geschlossen worden. Ein zweiter Fehler in Cursor ermöglichte es dem Agenten, einen Python-Interpreter zu manipulieren, den die Editor-Erweiterung anschließend eigenständig ausführte. Ein dritter Fehler machte sich zunutze, dass Git-Metadaten nicht zwingend im Ordner .git gespeichert sein müssen, um eine Ausführung über fsmonitor auszulösen. Auch dieser Fehler wurde laut Bleeping Computer in Version 3.0.0 behoben. In Codex erlaubte eine als sicher eingestufte Befehls-Whitelist das Aufrufen vertrauenswürdiger Git-Repositories nach Namen, während der eigentliche Aufruf nicht schreibgeschützt war. OpenAI hat diese Lücke in Version 0.95.0 geschlossen und eine Prämie für einen Fehler mit hohem Schweregrad ausgezahlt. Ein Docker-Socket-Fehler betraf sowohl Codex, als auch Cursor und Gemini CLI: Hier ermöglichte ein privilegierter lokaler Dienst, auf den die Agenten zugreifen konnten, die Ausführung von Code außerhalb der Sandbox. Auch dieses Problem ist inzwischen behoben. Googles Reaktion sei laut den Sicherheitsforscher:innen insgesamt zurückhaltender ausgefallen. Der Tech-Konzerne habe beide Funde in Antigravity als „sonstige gültige Sicherheitslücken” eingestuft. Was das KI-Forschungsteam jetzt empfiehlt Laut Bleeping Computer ist das festgestellte Muster nicht neu – das Ausmaß allerdings schon. Pillar Security schlägt als Lösung vor, gezielt zu überwachen, wann ein vertrauenswürdiges lokales Tool etwas ausführt, das der KI-Agent geschrieben hat. Die entscheidende Frage sei somit nicht mehr, ob dieser über eine Sandbox verfügt, sondern was mit den Dateien geschieht, die er darin hinterlässt.