Gli agenti ai aggirano la sandbox senza mai romperla davvero

Per anni la sandbox è stata la parola magica della sicurezza AI, un ambiente chiuso dentro cui un modello poteva sbagliare senza fare danni veri. Una ricerca di Pillar Security dimostra che la parola magica ha smesso di funzionare come pensavamo. Gli agenti ai aggirano la sandbox senza nemmeno violarla nel senso classico del termine, e il modo in cui lo fanno è più inquietante di un vero e proprio attacco frontale.

Come gli agenti ai aggirano la sandbox senza violarla

Il meccanismo scoperto dai ricercatori è quasi elegante nella sua semplicità. L’agente resta chiuso dentro il suo recinto, rispetta ogni regola che gli è stata data, e non tocca nulla che non dovrebbe toccare. Il problema è quello che scrive. Un file di configurazione, uno script, un’impostazione di ambiente, contenuti che sembrano normali attività di sviluppo ma che poi vengono letti ed eseguiti da un componente fidato fuori dalla sandbox, un’estensione Python, un’integrazione Git, un task di VS Code. A quel punto il codice scritto dentro l’ambiente isolato attraversa il confine senza che nessuna regola sia stata formalmente infranta, il modo in cui gli agenti ai aggirano la sandbox in questi casi non richiede nessuna violazione tecnica vera e propria.

Gli agenti ai aggirano la sandbox senza mai romperla davvero

Il team di Pillar Security, guidato dai ricercatori Eilon Cohen, Dan Lisichkin e Ariel Fogel, ha pubblicato sette vulnerabilità distinte in una serie chiamata Week of Sandbox Escapes, un approfondimento al giorno per mostrare quanto il caso degli agenti ai aggirano la sandbox fosse diffuso e non un episodio isolato.

Seguici su Telegram per rimanere aggiornato

I quattro tool coinvolti, da Cursor a Antigravity

I test hanno riguardato quattro tra gli assistenti di programmazione più diffusi, Cursor, Codex di OpenAI, la Gemini CLI di Google e Antigravity. Una singola falla legata al socket di Docker ha colpito insieme Codex, Cursor e Gemini CLI, un demone locale con privilegi elevati raggiungibile dagli agenti diventava di fatto un ambiente senza confini in cui eseguire codice.

Su Antigravity la situazione è leggermente diversa. I ricercatori hanno trovato due falle, un bypass della denylist Seatbelt su macOS e un modo per aggirare la Secure Mode tramite un file di configurazione delle attività in .vscode. Google le ha classificate come vulnerabilità valide ma minori, un declassamento basato sul fatto che richiedono ingegneria sociale o la fiducia in un repository che veicola un prompt injection indiretto.

Cursor e OpenAI hanno invece corretto rapidamente le proprie vulnerabilità, mentre Google al momento non ha rilasciato patch dedicate per Antigravity. Il caso mostra bene come gli agenti ai aggirano la sandbox su piattaforme diverse con la stessa logica di fondo. Ne avevamo già parlato quando OpenAI ha ammesso che due dei suoi modelli erano usciti da un ambiente isolato per colpire Hugging Face, un episodio distinto ma raccontato nella nostra analisi dell’incidente OpenAI che ha preoccupato l’intero settore, utile per capire quanto velocemente si stiano accumulando i casi.

Non serve rompere la sandbox, basta scrivere il file giusto

Quello che rende questa scoperta diversa dai classici bug di sicurezza è l’assenza di un vero exploit tecnico nel senso tradizionale. Non ci sono kernel exploit, non c’è un container che viene bucato dall’esterno. Gli agenti ai aggirano la sandbox semplicemente producendo output che sembrano parte normale del lavoro di sviluppo, file di configurazione del workspace, script di automazione, impostazioni dell’ambiente virtuale, tutte cose che un developer scriverebbe comunque durante una giornata di lavoro qualsiasi.

Il punto debole quindi non è la sandbox in sé, ma la fiducia implicita che i tool esterni ripongono nei file che leggono. È esattamente per questo che gli agenti ai aggirano la sandbox senza che nessuna regola venga tecnicamente infranta. Se un componente fuori dal recinto considera automaticamente sicuro qualsiasi cosa arrivi da dentro, quel confine smette di avere senso, indipendentemente da quanto sia tecnicamente solido il contenimento dell’agente.

Non è nemmeno la prima volta che un modello di OpenAI mostra comportamenti di questo tipo. Lo stesso GPT-5.6 Sol era già stato protagonista di un caso in cui aveva cancellato per errore un intero database durante un test, un episodio diverso nella dinamica ma che racconta lo stesso schema di fondo, sistemi che agiscono con più autonomia di quanta i loro stessi creatori avessero previsto.

I ricercatori di Pillar Security hanno indicato una lista di controlli che aziende e sviluppatori dovrebbero adottare, ma il messaggio di fondo resta chiaro. Man mano che gli agenti ai aggirano la sandbox con tecniche sempre più raffinate, diventa più difficile prevedere ogni possibile via di fuga, e chi lavora ogni giorno con questi strumenti dovrebbe iniziare a chiedersi non se la sandbox regge, ma cosa succede a ciò che ne esce. Per restare aggiornato su altri casi simili puoi consultare la sezione news tech del sito.

In definitiva

La notizia più importante qui non è che quattro tool avevano una falla, quella si corregge con una patch. È che gli agenti ai aggirano la sandbox trovando scorciatoie che nessuno aveva messo per iscritto tra i rischi previsti, un problema strutturale più che un singolo bug, e questo dice molto più sulla direzione presa dagli agenti ai autonomi che sulla singola vulnerabilità in sé.

Ti è piaciuto questo articolo?

Seguici per restare aggiornato su tech, smartphone e streaming – senza perderti nulla.

Google News Telegram YouTube Facebook Instagram