Codex、Cursor 等四大 AI 编程代理曝沙箱逃逸：不破箱，也能在你电脑上跑代码

用 Codex、Cursor 这类编程代理的人，多少都默认过一件事：反正它跑在沙箱里，翻不了天。这次 Pillar Security 的研究（他们自己起的标题就叫"沙箱逃逸之周"）把这个安全感拆得很彻底——沙箱本身没破，但"箱子里写下的东西"会被箱子外的可信程序捡起来执行。对每天让代理自动读仓库、跑任务的开发者来说，这比传统漏洞更值得细看。顺带一提，长期稳定使用 Codex / ChatGPT 的前提是账号环境本身干净，出口 IP 的成色可以随手在 GPT / Codex IP 检测 查一眼，这个后面再展开。

攻击是怎么绕过去的

这轮披露的核心不是某一个孤立 bug，而是一条"借刀杀人"式的链路：

• 下毒：攻击者把恶意提示藏进开源仓库的 README、Issue 区、依赖库或代码 diff——都是 AI 代理干活时会"顺手读"的地方（典型的间接提示注入）。
• 代写：被污染的代理在项目目录里写出看起来人畜无害的配置文件、虚拟环境或命令指令，全程没有越出沙箱半步。
• 借刀：IDE 和 CLI 工具链（Python 解释器、Git、任务引擎）习惯性地自动加载、信任工作区文件——这些"留在箱子里的文件"被宿主系统读取时，就在沙箱之外执行了，攻击者由此在开发者电脑上拿到任意代码执行。

研究还点了两个普遍的设计缺陷：白名单只核对命令名（比如按名字信任 git show，实际那次调用并不是只读的），以及沙箱把特权服务暴露在边界之外——有一个 Docker socket 问题同时命中 Codex、Cursor 和 Gemini CLI 三家：代理能摸到宿主机上的特权守护进程，那它就等于有了一个不设防的代码执行点。

各家修得怎么样

• Cursor：升级到 3.0.0，修复编号 CVE-2026-48124 的沙箱到宿主机代码执行问题。
• OpenAI Codex CLI：v0.95.0 修复了命令白名单绕过，官方按高危级别发放了漏洞赏金，据报道 CVE 编号还在走流程。
• Google Antigravity：态度最松——两个问题被 Google 降级处理，理由是利用它们需要先用社会工程学骗用户信任恶意仓库。这个说法研究方并不完全买账，毕竟"让开发者 clone 一个陌生仓库"在现实里门槛实在不高。

消息源头是 Pillar Security 的研究报告，外媒 BleepingComputer 等做了跟进报道。如果你在用其中任何一款，第一件事就是把版本升上去：Cursor ≥ 3.0.0、Codex CLI ≥ v0.95.0。

对国内 / 代理用户意味着什么

这事对 Codex 用户有两层提醒。第一层是安全操作上的：别让代理在你不过目的情况下自动消化陌生仓库，README 和 Issue 从今天起都算"输入面"，跑第三方项目前先扫一眼有没有可疑的提示注入痕迹。第二层是账号与环境层面的——很多人为了跑 Codex 挂着代理、开着各种自动化，环境本身的"可疑度"其实一直在被 OpenAI 风控打量：

• 出口 IP 是不是机房 IP、有没有被标记，先用 GPT / Codex IP 检测 看一眼风险评分——IP 不干净时，任何异常行为都更容易被放大解读。
• 频繁弹「Unusual Activity」这类报错，对照 ChatGPT 异常活动报错自查与 IP 风控指南 逐项排查。
• 哪些域名该走代理、哪些直连，Codex / ChatGPT 域名分流规则大全 里有现成清单——分流乱配也是触发风控的常见原因。
• 担心波及账号，先读 ChatGPT 封号与防封指南，别等出事再补救。
• Codex 想长期稳、少踩坑，Codex 稳定使用指南：11 项关键配置 和 为什么不建议用 IPv6 访问 ChatGPT / Codex 值得过一遍。

注：本文信息据 Pillar Security 研究报告及 BleepingComputer 等外媒报道综合整理，漏洞细节与修复版本以各厂商官方公告为准。