Agentes de IA escapan de sus sandboxes sin romperlas: ¿qué falla?

¿Qué ha ocurrido?

Investigadores de Pillar Security han publicado un informe en el que detallan cómo lograron que cuatro agentes de IA para codificación —Cursor, OpenAI Codex, Google Gemini CLI y Antigravity— escaparan de sus sandboxes sin romperlas. La técnica explota la confianza que estos entornos depositan en el agente dentro del directorio del proyecto: el sandbox protege al anfitrión del agente, pero asume que el agente es seguro dentro de su carpeta. Los atacantes pueden engañar al agente para que ejecute comandos o acceda a recursos del sistema anfitrión, todo ello sin generar una alerta de seguridad.

Según el informe de Pillar Security, la vulnerabilidad no reside en fallos de implementación del sandbox, sino en un error de diseño de confianza. Los sandboxes típicamente aíslan al agente del sistema operativo anfitrión, pero otorgan al agente acceso completo a los archivos y procesos dentro del directorio del proyecto. Un atacante puede inyectar instrucciones maliciosas en archivos de configuración, scripts de construcción o dependencias que el agente procesa de forma autónoma. Por ejemplo, si el agente ejecuta un comando como npm install, puede ser engañado para que lea variables de entorno del anfitrión o escriba en ubicaciones fuera del directorio del proyecto. Los investigadores demostraron que, en todos los casos, el agente actuaba como un puente inadvertido hacia el sistema anfitrión, sin que el sandbox generara alerta alguna.

La investigación abarcó varios meses e incluyó pruebas con las versiones más recientes de cada herramienta a principios de 2026. Pillar Security notificó a los proveedores afectados antes de la divulgación pública, siguiendo prácticas responsables de divulgación de vulnerabilidades. Hasta la fecha, no se han lanzado parches oficiales, aunque los fabricantes han reconocido el problema y están trabajando en actualizaciones.

¿Por qué es importante?

Los sandboxes son la principal barrera de seguridad en herramientas de IA que ejecutan código de forma autónoma. Si un atacante puede hacer que el agente actúe como puente hacia el sistema anfitrión, se comprometen datos, credenciales y la integridad del entorno de desarrollo. Dado que estas herramientas son usadas por millones de desarrolladores, el impacto potencial es masivo. Además, la técnica no requiere vulnerabilidades complejas, sino que explota la lógica de confianza implícita.

Cursor, por ejemplo, cuenta con más de 1.5 millones de usuarios activos según datos de la propia empresa. OpenAI Codex está integrado en GitHub Copilot, utilizado por más de 2 millones de desarrolladores. Google Gemini CLI, aunque más reciente, se está adoptando rápidamente en entornos empresariales. Antigravity, un agente de código abierto, tiene un ecosistema de plugins que amplía su superficie de ataque. La combinación de estas bases de usuarios hace que cualquier vulnerabilidad de escape de sandbox tenga un alcance global.

Históricamente, los escapes de sandbox han sido eventos críticos en ciberseguridad. En 2015, se descubrió una vulnerabilidad en el sandbox de Adobe Flash que permitía ejecución remota de código, afectando a millones de sistemas. En 2020, investigadores demostraron escapes en el sandbox de Docker mediante exploits de kernel. Sin embargo, este caso es diferente: no se trata de un error de implementación, sino de un problema de diseño arquitectónico. La confianza implícita en el agente dentro de su directorio de trabajo es inherente a la forma en que estos sistemas fueron concebidos. Rediseñar esa confianza requerirá cambios fundamentales en la arquitectura.

El impacto en el mercado podría ser significativo. Las empresas que integran agentes de IA en sus flujos de CI/CD o en entornos de desarrollo local deberán reevaluar sus riesgos. Startups que construyen sobre estas plataformas podrían ver retrasos en sus lanzamientos si los proveedores no ofrecen soluciones rápidas. En el peor de los casos, un ataque dirigido podría filtrar tokens de API, claves SSH o incluso código fuente propietario.

Consecuencias y recomendaciones

Las empresas que integren agentes de IA en sus flujos de trabajo deben revisar sus políticas de seguridad y considerar la segmentación de redes, el monitoreo de comportamiento anómalo y la limitación de permisos del agente. Los desarrolladores deben ser conscientes de que el sandbox no es infalible y evitar ejecutar código no verificado. A largo plazo, los fabricantes necesitan rediseñar la arquitectura de confianza de estos sistemas.

Pillar Security recomienda varias mitigaciones inmediatas. Primero, ejecutar los agentes en contenedores con políticas de seguridad estrictas, como contenedores Docker con capacidades reducidas o máquinas virtuales efímeras. Segundo, monitorear las llamadas al sistema del agente mediante herramientas como seccomp o AppArmor. Tercero, limitar el acceso del agente a variables de entorno y archivos confidenciales, incluso dentro del directorio del proyecto. Cuarto, implementar revisión humana para comandos que modifiquen el sistema anfitrión.

Para los desarrolladores individuales, las recomendaciones incluyen no ejecutar agentes con permisos de superusuario, revisar manualmente los archivos de configuración antes de que el agente los procese, y utilizar entornos virtuales o contenedores para proyectos que requieran dependencias externas. Es crucial entender que la seguridad por capas sigue siendo la mejor defensa: ningún sandbox es infalible.

A largo plazo, los fabricantes deberían considerar un modelo de confianza cero (zero-trust) para los agentes, donde cada acción sea verificada y autorizada explícitamente. Esto podría implicar la firma criptográfica de comandos, la autenticación mutua entre agente y sandbox, o la ejecución en entornos aislados con políticas de firewall internas. Algunos expertos sugieren que la solución definitiva podría requerir un nuevo estándar de la industria para sandboxes de IA.

Lo que debes saber

• La escapatoria no requiere romper el sandbox, sino manipular la confianza del agente.
• Cursor, Codex, Gemini CLI y Antigravity están afectados.
• Pillar Security notificó a los proveedores antes de la divulgación.
• No hay parches inmediatos; la mitigación depende de configuraciones adicionales.
• La técnica fue demostrada en múltiples escenarios, incluyendo inyección a través de dependencias y archivos de proyecto.
• El impacto potencial abarca desde filtración de credenciales hasta ejecución remota de código en el anfitrión.
• Los investigadores publicaron un video de prueba de concepto para cada agente, disponible en su sitio web.

“El sandbox no es una solución mágica; la seguridad debe ser por capas”, advierten los investigadores.