Publicado en

Escapes de Sandbox en Agentes de IA: Nuevas Vulnerabilidades en Cursor, Codex y Gemini

•Publicado enVulnerabilidades

El riesgo de confiar ciegamente en los entornos aislados de la IA

La adopción de agentes de Inteligencia Artificial (IA) para la programación, como Cursor, Codex y Gemini CLI, ha transformado la productividad de los desarrolladores. Sin embargo, una reciente investigación de Pillar Security ha revelado una vulnerabilidad crítica: la capacidad de estos agentes para evadir sus entornos aislados o sandboxes.

A diferencia de los ataques tradicionales que intentan romper las barreras del software, estos investigadores utilizaron una técnica indirecta. El agente de IA permanece dentro de su entorno seguro y sigue todas las reglas, pero se le induce a escribir archivos maliciosos en el espacio de trabajo. El problema surge cuando herramientas de confianza del sistema anfitrión (fuera del sandbox) ejecutan o procesan automáticamente esos archivos.

Mecanismos de evasión: El peligro de los archivos de configuración

El estudio, denominado «Week of Sandbox Escapes», detalla cómo las herramientas que los desarrolladores usan a diario pueden convertirse en vectores de ataque. Los investigadores clasificaron los hallazgos en cuatro modos de fallo principales:

  • Configuraciones de espacio de trabajo ejecutables: Archivos como .claude o configuraciones de tareas de VS Code que, al ser modificados por la IA, ejecutan comandos en el sistema real.
  • Listas de comandos «seguros» insuficientes: Sistemas que confían en el nombre de un comando (como git) pero no validan adecuadamente sus argumentos.
  • Daemons locales privilegiados: Agentes que pueden comunicarse con sockets locales (como Docker Desktop) que operan fuera del sandbox.
  • Manipulación de intérpretes: Inducir a la IA a editar entornos virtuales (virtualenv) que luego son ejecutados por extensiones del editor.

Vulnerabilidades confirmadas y parches

Varios de estos fallos ya han sido catalogados y corregidos. Por ejemplo, en Cursor, se identificó el CVE-2026-48124, relacionado con la ejecución de comandos no autorizados a través de ganchos (hooks) de configuración. Por su parte, OpenAI parcheó una vulnerabilidad en Codex CLI que permitía la ejecución de código mediante el uso indebido de comandos de Git.

Curiosamente, Google adoptó una postura más conservadora respecto a los hallazgos en Antigravity, calificándolos como vulnerabilidades válidas pero de menor prioridad, argumentando que requieren ingeniería social o que el usuario confíe en un repositorio malicioso (Prompt Injection indirecto).

Implicaciones para la seguridad corporativa

Desde la perspectiva de la ciberseguridad empresarial, este caso resalta un principio fundamental: la seguridad de un agente de IA no termina en su sandbox. El verdadero riesgo reside en lo que sucede con los archivos que la IA genera y cómo interactúan con el resto de la infraestructura del desarrollador.

En Intedya, recomendamos a las organizaciones que integran herramientas de IA generativa en sus flujos de desarrollo seguir estas pautas:

  1. Actualización constante: Asegurarse de que los IDEs y agentes de IA estén siempre en su última versión (Cursor 3.0.0 o superior, por ejemplo).
  2. Principio de mínimo privilegio: Limitar el acceso de los agentes de IA a sockets de red y servicios locales sensibles.
  3. Auditoría de configuraciones: Supervisar los cambios automáticos en archivos de configuración ocultos (.git, .vscode, .env).

La IA es un aliado poderoso, pero su integración requiere una capa de gobernanza y seguridad que contemple no solo el código generado, sino el entorno donde este cobra vida.

Fuentes