Semana dos Sandbox Escapes: Pillar Security expõe 7 caminhos de fuga em Cursor, Codex, Gemini CLI e Antigravity — e reabre o debate sobre a segurança de agentes de IA

Resumo: A Pillar Security divulgou em 20 de julho de 2026 a série The Week of Sandbox Escapes, com sete vulnerabilidades reproduzidas em quatro dos principais agentes de codificação do mercado: Cursor, OpenAI Codex CLI, Google Gemini CLI e Antigravity. O padrão é o mesmo em todas: o agente não precisa quebrar o sandbox — basta escrever um arquivo que, depois, um componente confiável do host executa. O CVE-2026-48124 já foi atribuído a uma das falhas, e a maior parte dos fornecedores publicou patch. A tese central, porém, incomoda: o modelo de ameaças usado em ferramentas de dev agenticas ficou defasado.

O que a Pillar encontrou

A equipe de pesquisa reproduziu sete cadeias distintas e concluiu que o raio de dano de um agente não termina no processo em que ele roda. Ele inclui tudo o que o agente é capaz de escrever — arquivos de configuração de workspace, hooks, virtualenvs, metadata de Git — e depois é lido por componentes que operam fora do sandbox: extensões do VSCode, o Python extension, git via fsmonitor, task runners e o socket do Docker Desktop.

Segundo o relatório, quatro padrões de falha se repetem:

• Sandboxes tipo denylist que não conseguem acompanhar a complexidade do sistema operacional.
• Configuração de workspace que, na prática, é código executável.
• Allowlists de comandos “seguros” que confiam no nome do comando, não na invocação real.
• Daemons locais privilegiados que ficam fora da caixa e viram bridge para o host.

Os sete casos e o status atual

A cadeia mais grave envolve o socket do Docker Desktop, alcançável a partir de Cursor, Codex e Gemini CLI — o daemon privilegiado passa a ser um segundo ambiente de execução, sem sandbox. A vulnerabilidade foi corrigida sob o advisory GHSA-v4xv-rqh3-w9mc.

Outros achados relevantes: um agente conseguiu editar o binário de um virtualenv que a extensão Python do Cursor executou depois, sem sandbox; diretórios git podem ser “disfarçados” fora de .git para escapar de regras de path e disparar o fsmonitor; a allowlist de git show no Codex CLI não previa flags que o transformam em ferramenta de escrita; e um hook Claude escrito dentro do workspace do Cursor foi executado fora da caixa — falha tratada como CVE-2026-48124 e corrigida no Cursor 3.0.0.

Para Antigravity, dois casos: o perfil Seatbelt em macOS montado como allow-default, que deixou features do OS acessíveis, e um arquivo .vscode/tasks.json escrito pelo agente que o host executou depois. A Google classificou ambos como “vulnerabilidades de segurança de aplicações normais do Google” e aplicou downgrade por considerar a exploração “difícil”.

Por que importa — e o que muda no Brasil

Times de desenvolvimento em bancos, fintechs e integradores brasileiros que já rodam Cursor, Codex CLI, Gemini CLI ou Antigravity em endpoints corporativos estão diretamente na mira. Diferente de um prompt injection clássico contra um chatbot, este vetor termina em execução de comando na máquina do dev — perto de chaves SSH, tokens de nuvem, credenciais de publicação de pacote e acesso a produção.

Na prática, isso significa que a análise de risco não pode mais parar em “o agente tem sandbox?” Precisa perguntar: quais arquivos o agente pode escrever, quais componentes fora do sandbox lêem esses arquivos, e como o telemetria da máquina distingue arquivos criados por humanos de arquivos criados pelo agente.

Riscos e limitações

Os patches individuais reduzem a exposição, mas não fecham o problema. A Google, no caso Antigravity, decidiu não corrigir dois dos achados. Nas cadeias em que a corrupção passa por daemons privilegiados (Docker Desktop, package managers, cloud CLIs), a superfície aumenta a cada nova ferramenta local instalada. E o modelo mental do usuário — “é só um IDE” — não acompanhou a mudança de comportamento do endpoint.

Vale reforçar: prompt injection deixou de ser um problema de chatbot. Um issue de repositório, um README, um comentário em pull request ou um pacote NPM comprometido podem servir de vetor. Combine isso com um agente que age por conta própria em cima do sistema de arquivos e você tem um caminho direto entre conteúdo público e execução privilegiada.

SWOT — Segurança de agentes de codificação em julho de 2026

Conclusão prática

Cabe aos times de segurança perguntar aos fornecedores sete coisas antes de fechar contrato: o que o agente escreve, quais componentes do host confiam nesses arquivos, quais daemons ele alcança, quais comandos passam por aprovação, se a política avalia apenas o nome do comando ou também os argumentos, se há distinção entre arquivos criados pelo usuário e pelo agente, e que telemetria dispara quando um helper confiável executa algo que o agente influenciou.

Em curto prazo: atualize Cursor para 3.0.0+, Codex CLI para 0.95.0+, verifique regras de perfil Seatbelt no Antigravity, revise integrações do Docker Desktop e restrinja permissões do fsmonitor. Em médio prazo, considere adotar um chokepoint específico de agentic endpoint — o processo do agente sozinho parou de ser a fronteira útil.

Fonte original: Pillar Security — The Week of Sandbox Escapes (20 de julho de 2026).