Cursor・Codex等4製品でサンドボックス脱出。箱を破らず外の信頼を突く手口

サンドボックス脱出は、セキュリティ企業 Pillar Security が2026年7月20日、AIコーディングエージェント4製品でサンドボックスを抜け出せる脆弱性を連続開示しました。

📖 この記事で分かること

• AIコーディング4製品でサンドボックス脱出の脆弱性が開示
• エージェントは箱の中でルールを守ったまま脱出する手口
• CursorとCodexは修正済み、対処は最新版への更新
• Antigravityは2件が「その他の脆弱性」に分類された

💡 知っておきたい用語

• サンドボックス:AIが暴走しても被害が外に及ばないよう、動作を隔離しておく「仕切られた作業部屋」のこと。

最終更新日: 2026年7月21日

▶ 公式ページ

• The Week of Sandbox Escapes(連載まとめ)(Pillar Security)

何が開示されたか

セキュリティ企業 Pillar Security が、AIコーディングエージェント4製品でサンドボックスを抜け出せる脆弱性を連続開示しました。

この記事のポイント

• Pillar Security が2026年7月20日、Cursor・OpenAI Codex・Google Gemini CLI・Antigravityの4製品でサンドボックス脱出の脆弱性を開示しました(2026年7月時点)。
• エージェントは隔離環境のルールを守ったまま、ホスト側の信頼されたツールが後で実行するファイルを書くことで脱出します。
• Cursor は CVE-2026-48124 を v3.0.0(2026年7月時点)で、Codex は v0.95.0(2026年7月時点)で修正済み。対処は各ツールを最新版へ更新すること。

対象は Cursor、OpenAI の Codex、Google の Gemini CLI、そして Antigravity。研究チーム(Eilon Cohen、Dan Lisichkin、Ariel Fogel の各氏)が数か月かけて再現し、「Week of Sandbox Escapes」として1日1本ずつ公開しています。

「箱を破らない」脱出の仕組み

今回の手口の要点は、サンドボックスを正面から破らないことです。

エージェントは隔離された箱の中で、与えられたルールをすべて守ります。ただ、箱の外にある「信頼されたツール」が後から実行・読み込み・スキャンするファイルを書き出す。すると、そのファイルを箱の外の特権プロセスが実行し、脱出が結果として成立します。研究チームはこれを「エージェントの影響範囲(blast radius)は、エージェントのプロセスではなく、エージェントが書き込めてホストが後で信頼するすべてを含む」と表現しています。

失敗パターンとして4類型が挙げられています。(1)拒否リスト方式の隔離がOSの複雑さに負ける、(2)ワークスペースの設定ファイルが実質「実行可能コード」として振る舞う、(3)コマンド許可リストが実際の呼び出しでなく「名前」を信頼する、(4)Dockerソケットのような特権ローカルデーモンが隔離境界の外にある、の4つです。

各製品の状況と修正

具体的な脆弱性と対応状況は製品ごとに分かれます。

Cursor では .claude のフック設定を経由する脆弱性が CVE-2026-48124 として採番され、v3.0.0(2026年7月時点)で修正されました。Dockerソケットや仮想環境の改変に関する指摘も修正済みです。Codex CLI では「安全」なコマンド許可リストが git show を名前で信頼していたものの、実際の呼び出しは読み取り専用ではなかった、という指摘があり、OpenAI が v0.95.0(2026年7月時点)で修正し高深刻度の報奨金を支払いました。Dockerソケットの発見は Codex・Cursor・Gemini CLI の3製品に同時に影響したとされます。

一方、Google の Antigravity では macOS の Seatbelt 拒否リスト回避と、.vscode タスク設定による Secure Mode 回避の2件が報告されました。この2件への対応は他社より慎重で、「その他の有効なセキュリティ脆弱性」に分類されたとされています。

編集部の見方

編集部は、今回の一連の開示で最も重いのは個別のCVEそのものより、「エージェント本体を隔離するだけでは守りきれない」という設計上の教訓だと見ます。

• 根拠1:4製品すべてで、脱出はサンドボックスの内側からルールを守ったまま起きています。攻撃面はエージェントのプロセスではなく、エージェントが書き込めるファイルをホスト側の何が信頼するか、という「間接的な実行経路」に移っています。
• 根拠2:許可リストがコマンドを「名前」で信頼する、設定ファイルが実行可能コードになる、といった失敗は特定製品固有ではなく、エージェント型ツール全般に共通する構造です。
• この見方が変わる条件:各ベンダーが書き込み経路とホスト側ツールの信頼境界を統合的に見直し、拒否リスト依存から許可リスト・能力ベースの隔離へ移れば、リスクの重心は再び個別実装の話に戻ります。

なお多くの指摘はすでに修正済みです。実務上の対処は、Cursor・Codex をはじめ利用中のコーディングエージェントを最新版へ更新することに尽きます。

よくある質問

Q: いま自分の環境は危険ですか?

A: 主要な指摘の多くはベンダー側で修正済みです。Cursor は v3.0.0、Codex は v0.95.0 以降で該当箇所が修正されているため、まず利用中のツールを最新版へ更新してください。

Q: なぜサンドボックスがあるのに脱出できたのですか?

A: 攻撃はサンドボックスを直接破っていません。箱の中でルールを守りつつ、箱の外の信頼されたツールが後で実行するファイルを書くことで、外側のプロセスに実行させる間接的な手口です。

Q: Antigravity の2件はなぜ扱いが違うのですか?

A: Google はこの2件を「その他の有効なセキュリティ脆弱性」に分類したとされ、他社の対応より慎重だったと報告されています。詳細は一次ソースを参照してください。

まとめ

Pillar Security が Cursor・Codex・Gemini CLI・Antigravity の4製品でサンドボックス脱出の脆弱性を開示しました。共通するのは、エージェントが隔離環境のルールを守ったまま、ホスト側の信頼されたツールに実行させる間接的な手口です。CursorとCodexは修正済みで、利用者はまず各ツールを最新版へ更新することが実務上の対処になります。

【用語解説】

• サンドボックス: プログラムの動作を隔離し、外部システムへ影響を及ぼさないよう制限する仕組み。
• CVE: 個々の脆弱性に付与される世界共通の識別番号。
• コーディングエージェント: 指示に従ってコードを書き、コマンドを実行するAIツール。

引用元:

• [1] The Week of Sandbox Escapes(Pillar Security)
• [2] Cursor, Codex, Gemini CLI, Antigravity hit by sandbox escapes(BleepingComputer)

この記事について: AI 支援で執筆、編集部が事実確認・編集しています。誤りや追加情報があれば Contact よりお知らせください。