L'agente resta chiuso nella sua sandbox e rispetta ogni regola che gli � stata data; si limita a scrivere un file che uno strumento fidato, fuori dalla sandbox, eseguir� poco dopo: l'evasione avviene da s�. � il filo conduttore delle sette vulnerabilit� che Pillar Security ha trovato e riprodotto in alcuni mesi di lavoro su quattro fra gli assistenti di programmazione basati su IA pi� diffusi: Cursor, il Codex di OpenAI, la Gemini CLI di Google e Antigravity.
Le scoperte, firmate dai ricercatori Eilon Cohen, Dan Lisichkin e Ariel Fogel, sono state pubblicate come una serie battezzata Week of Sandbox Escapes, un approfondimento al giorno. In quasi tutti i casi l'agente non ha dovuto forzare direttamente la sandbox: gli � bastato scrivere qualcosa che un componente fidato all'esterno avrebbe poi eseguito, caricato o trattato come sicuro.
Ad aprile la societ� Cymulate aveva documentato lo stesso schema, battezzandolo Configuration-Based Sandbox Escape, su Claude Code, Gemini CLI e Codex CLI: un file scritto dentro la sandbox che viene eseguito sull'host al lancio successivo. La novit� che emerge dal lavoro dei ricercatori di Pillar Security � la portata del problema, con lo stesso difetto si ripresenta ora su quattro strumenti di tre aziende diverse.
