Pillar fait sauter les sandbox de Cursor, Codex et Gemini CLI
TL;DR
- Pillar Security reproduced independent escape paths on four distinct platforms, confirming the attack class is architectural rather than a one-off misconfiguration.
- One Docker socket exposure simultaneously affected Cursor, Codex, and Gemini CLI, making a single privileged local daemon a cross-product attack surface.
- CVE-2026-48124 in Cursor shows workspace-controlled hook configs can silently execute unsandboxed commands after any agent turn ends, without additional user approval.
Le point intéressant de la divulgation de Pillar Security n'est pas qu'un agent de code se soit fait évader de son bac à sable, mais que l'évasion vienne d'ailleurs. Selon BleepingComputer, les chercheurs Eilon Cohen, Dan Lisichkin et Ariel Fogel ont publié le 20 juillet 2026 une série intitulée 'Week of Sandbox Escapes' documentant des failles dans Cursor, Codex d'OpenAI, Gemini CLI de Google et Antigravity.
Le mécanisme est le même partout. L'agent reste dans sa boîte et obéit aux règles, mais les fichiers qu'il écrit, qu'il s'agisse d'un README, d'une dépendance ou d'un diff, sont ensuite lus par des outils de confiance situés hors du sandbox. Comme le formule Pillar, 'The agent stays sandboxed, but the files it writes are trusted by tools outside the box.' Une instruction malveillante glissée dans un projet peut donc déclencher une action locale au moment où un autre outil traite le fichier.
Cursor cumule trois failles distinctes: une configuration de hook .claude qui autorise l'exécution contrôlée depuis le workspace (CVE-2026-48124, corrigée en 3.0.0), la possibilité pour l'agent d'éditer des interpréteurs virtualenv que l'extension Python exécute ensuite, et une manipulation des métadonnées Git qui contourne les règles de sécurité par chemin. OpenAI a corrigé Codex en v0.95.0 après avoir découvert que son allowlist faisait confiance à 'git show' par nom sans valider les arguments, avec une prime bug bounty de haute sévérité. Une faille du socket Docker touche simultanément Codex, Cursor et Gemini CLI, ouvrant un accès privilégié au daemon. Google a reconnu deux problèmes dans Antigravity, un contournement de la denylist macOS Seatbelt et de la configuration de tâches .vscode, mais les a classés 'Other valid security vulnerabilities' en jugeant leur exploitation dépendante d'ingénierie sociale.
La réserve honnête, c'est que le reportage ne dit rien sur des exploitations réelles observées ni sur le nombre d'organisations touchées, et la sévérité réduite décidée par Google reste discutable puisqu'un README piégé sur un dépôt public est précisément le mode d'entrée normal d'un agent de code. Cette lignée de recherche prolonge d'ailleurs des travaux similaires publiés en avril par Cymulate sur des 'Configuration-Based Sandbox Escape'. Le point à surveiller n'est pas la faille isolée mais le modèle: les équipes sécurité qui construisent aujourd'hui leurs politiques agentiques ont intérêt à cartographier la chaîne de confiance des outils qui lisent les sorties de l'agent, tant qu'elle est encore petite.
Ce qu'en disent les autres médias
-
Pillar Security Lire →
First-party researcher overview from Eilon Cohen, Dan Lisichkin, and Ariel Fogel naming all four platforms and eight distinct exploits, establishing trusted write surfaces as the unifying attack primitive.
If an agent gets to write the future inputs of systems, it was never sandboxed in the first place.
Article original publié par bleepingcomputer.com
Lire l'article original →Titre original : Pillar Security fait sauter les sandbox de Cursor, Codex, Gemini CLI et Antigravity via des fichiers piégés