Beveiligingsonderzoekers hebben een nieuwe serie kwetsbaarheden blootgelegd in AI-codeassistenten als Cursor, OpenAI Codex CLI, Gemini CLI en Antigravity. De aanvallen doorbreken de sandbox waarin deze tools draaien niet rechtstreeks, maar maken gebruik van bestanden die de AI-agent zelf aanmaakt en die later door vertrouwde software op het hostsysteem worden verwerkt.
De onderzoekers van Pillar Security spreken daarom niet van een klassieke sandbox-escape, maar van een fundamenteel vertrouwensprobleem. Hoewel de AI-agent binnen de beperkingen van de sandbox blijft werken, kunnen de bestanden die hij produceert uiteindelijk alsnog leiden tot code-uitvoering buiten die beschermde omgeving.
Volgens Pillar Security ligt de zwakke plek niet zozeer in de sandbox zelf, maar in de manier waarop ontwikkeltools omgaan met bestanden uit de projectomgeving. Moderne ontwikkelomgevingen voeren voortdurend automatische taken uit, zoals het detecteren van Python-interpreters, het verwerken van Git-metadata, het uitvoeren van VS Code-taken of het communiceren met Docker. Wanneer een AI-agent bestanden kan aanpassen die door deze componenten worden vertrouwd, ontstaat een indirecte route naar het hostsysteem.
De onderzoekers demonstreren dat een aanvaller hiervoor slechts een kwaadaardige instructie hoeft te verbergen in bijvoorbeeld een README-bestand, een softwaredependency, een Git-issue of een codewijziging. Een AI-codeassistent die deze informatie verwerkt, kan vervolgens bestanden genereren of aanpassen die later automatisch door andere software worden uitgevoerd.
Volgens de onderzoekers laat dit zien dat een sandbox alleen bescherming biedt zolang ook alle software buiten die sandbox de gegenereerde bestanden als onbetrouwbaar behandelt.
Zeven kwetsbaarheden bij vier AI-tools
Pillar Security onderzocht in totaal zeven kwetsbaarheden, verspreid over vier AI-codeassistenten van drie leveranciers. De meeste problemen zijn inmiddels bevestigd en opgelost.
Bij Cursor ontdekten de onderzoekers onder meer dat een configuratiebestand voor Claude-hooks gebruikt kon worden om opdrachten buiten de sandbox uit te voeren. Die kwetsbaarheid kreeg het identificatienummer CVE-2026-48124 en is verholpen in versie 3.0.0. Daarnaast bleek een AI-agent een Python virtual environment zodanig te kunnen aanpassen dat de Python-extensie van de editor deze gewijzigde interpreter vervolgens automatisch uitvoerde. Een derde kwetsbaarheid maakte misbruik van alternatieve Git-metadata, waardoor de padgebaseerde beveiliging van Cursor kon worden omzeild.
Ook OpenAI moest een probleem oplossen in Codex CLI. Daar vertrouwde een allowlist uitsluitend op de naam van het commando git show, terwijl de gebruikte parameters wel degelijk wijzigingen konden aanbrengen. OpenAI heeft dit verholpen in versie 0.95.0 en kende de onderzoekers een bug bounty toe. Een CVE-nummer wordt nog toegekend.
Een andere kwetsbaarheid trof tegelijkertijd Cursor, Codex CLI en Gemini CLI. Daarbij konden de AI-agents communiceren met een geprivilegieerde Docker-service die buiten de sandbox draaide, waardoor alsnog code op het hostsysteem kon worden uitgevoerd. Ook dit probleem is inmiddels verholpen.
Google beoordeelt risico lager
Niet alle leveranciers beoordeelden de bevindingen even zwaar. Volgens Pillar Security kende Google twee kwetsbaarheden in Antigravity een lagere ernstclassificatie toe. Het ging om een methode om de macOS Seatbelt-beveiliging te omzeilen en een aanval via een VS Code-taakconfiguratie.
Google stelde volgens de onderzoekers dat beide scenario’s afhankelijk zijn van social engineering of van een ontwikkelaar die een kwaadaardige repository vertrouwt. Daardoor zouden de aanvallen in de praktijk minder eenvoudig uit te voeren zijn. Wel zou Google de kwaliteit van het onderzoek nadrukkelijk hebben geprezen.
Bekend aanvalspatroon krijgt bredere impact
De onderliggende aanvalstechniek is niet volledig nieuw. Eerder dit jaar beschreef Cymulate al een vergelijkbare methode, waarbij configuratiebestanden die binnen een sandbox worden aangemaakt later buiten die sandbox worden uitgevoerd.
Volgens Pillar Security laat het nieuwe onderzoek echter zien dat het probleem zich niet beperkt tot één leverancier of één specifieke implementatie. Dezelfde fundamentele ontwerpkeuze komt terug in meerdere AI-codeassistenten die inmiddels door veel ontwikkelaars worden gebruikt.
Daarom pleit het bedrijf ervoor om niet alleen de sandbox zelf te beveiligen, maar ook kritisch te controleren welke lokale programma’s bestanden uitvoeren die door AI-agents zijn aangemaakt. Juist die overgang van sandbox naar vertrouwde ontwikkelomgeving blijkt volgens de onderzoekers het zwakke punt in de huidige generatie AI-codeertools.