AIコーディングエージェント4製品でサンドボックス脱出
- Cursor、Codex、Gemini CLI、Antigravityの4製品でサンドボックス脱出手法が判明
- エージェント自体はルールを守ったまま、書き込んだファイルを外部の信頼済みツールが実行する仕組みを悪用
- 複数のCVEが付与され大半は修正済み。Googleはantigravityの2件を低リスクに再評価
かんたんに言うと
AIがコードを書く便利なツールに、悪意ある指示を仕込まれたファイルを介して外部の別プログラムを乗っ取られる弱点が見つかった。多くは修正済みのため、使用中のツールは最新版に更新してほしい。
AIセキュリティとの関連: AIコーディングエージェントの安全対策(サンドボックス)が、想定外の経路で回避可能だったと判明したため。
何が起きたか
Pillar Securityの研究チームが、Cursor、OpenAI Codex、Google Gemini CLI、Google Antigravityの4つのAIコーディングエージェントでサンドボックス脱出の手法を発見したと報じられている。従来型のサンドボックス突破とは異なり、エージェント自体はルールを守ったまま、ワークスペース内に書き込んだファイルを外部の信頼済みツールが後から実行・読込することで脱出が成立する仕組みという。攻撃の起点はプロンプトインジェクション(README、issue、依存関係、diffなどに仕込まれた悪意ある指示)とされる。Pillarは失敗パターンを、OSの動きに追いつけないデナイリスト方式、実行可能コードと化す設定ファイル、コマンド名だけを信頼する許可リスト、サンドボックス外に存在する特権ローカルデーモンの4種類に分類している。
誰に・どう影響するか
中小企業向け:自社開発でCursorやGemini CLI、Codexなどを使っている場合、外部から取り込んだコードやドキュメントに仕込まれた指示で、開発者PC上で意図しないコマンドが実行される恐れがある。専任のセキュリティ担当がいない環境では修正版への更新が遅れがちで注意が必要。 大企業向け:開発チーム規模が大きいほど利用ツールも多様化し、影響範囲の把握が難しくなる。GitやDockerなど周辺ツールとの連携経路も攻撃対象となるため、CI/CDパイプライン全体でのリスク評価が求められる。Googleはantigravityの2件を「悪用が難しい」として重大度を引き下げたが、自社での独自評価も検討したい。
今すぐやるべきアクション
- Cursorをバージョン3.0.0以降、Codex CLIをv0.95.0以降に更新する
- Gemini CLIとAntigravityのアップデート状況をベンダー発表で確認する
- 外部リポジトリ・依存関係・issueなど信頼できない入力をAIエージェントに読み込ませる際は注意する
- Git連携やDockerソケットなど周辺ツールの権限設定を見直す
- AIエージェント利用ポリシーを整備し、実行ログの監視を強化する
重大度の判定理由
重大度「高」: 研究者による概念実証で悪用確認はないが、主要4製品に影響し、多くは修正済みで残るものもある