Onderzoekers vinden lekken in sandboxes van codeeragenten

De aandacht voor beveiliging van AI-codeeragenten verschuift van de modellen naar de laag eronder. In de afgelopen weken publiceerden meerdere securitybedrijven bevindingen over Claude Code, OpenAI Codex, Cursor en aanverwante tools, waarbij de zwakke plek niet in het taalmodel zat maar in de manier waarop de agent zijn omgeving afschermt en welke bestanden hij mag aanraken.

Een git-instelling als startschot

Manifold Security beschreef op 2 september onder de naam GitSpawn acht kwetsbaarheden in zeven codeeragenten. De kern is core.fsmonitor, een git-instelling die aangeeft welk commando git draait om gewijzigde bestanden op te sporen. Een repository met een geprepareerde configuratie laat dat commando uitvoeren op het moment dat de agent bij het opstarten van een sessie routinematig iets als git status aanroept, dus voordat de gebruiker een goedkeuringsvraag te zien krijgt. Manifold vat het samen als een probleem in de gewone leidingen onder de motorkap, niet in het model.

Voor de betrokken tools zijn CVE-nummers uitgedeeld: CVE-2026-55607 voor Claude Code, waar versie 2.1.196 een deel van het probleem afdekt, CVE-2026-19592 voor Codex CLI, gerepareerd in 0.131.0, en CVE-2026-72718 voor Goose met een CVSS-score van 7,0, opgelost in 1.44.0. Voor Hermes Agent, Qwen Code en Grok Build stond volgens de publicatie nog een fix open.

Bestanden die later worden vertrouwd

Onderzoekers van Pillar Security keken naar een verwante route bij Cursor, Codex CLI, Gemini CLI en Antigravity. Daar wordt de sandbox niet zelf doorbroken. De agent schrijft binnen zijn eigen afgeschermde ruimte een bestand weg dat even later door vertrouwde software op de host wordt opgepakt. Een voorbeeld: een aangepaste Python-omgeving die de Python-extensie van de editor vervolgens netjes zelf start. In Cursor bleek een configuratiebestand voor hooks bruikbaar om commando’s buiten de sandbox te draaien, geregistreerd als CVE-2026-48124 en verholpen in versie 3.0.0. Pillar noemt dit geen klassieke sandbox-escape maar een vertrouwenskwestie.

Hoe snel wordt er gepatcht

De Israëlische startup Accomplish meldde eigen vondsten bij Anthropic, OpenAI en Cursor en legde de reactietijden naast elkaar. Cursor had de melding uit juli binnen ongeveer een week dicht, OpenAI deed dat bij twee meldingen ook in ruwweg een week en bevestigde tegenover Upstarts dat beide in augustus waren opgelost. Bij Anthropic duurde het volgens Accomplish vijftig dagen, terwijl er in die periode zo’n dertig software-updates verschenen. CTO Or Hiltch zegt daarover: “There’s a lot of talk about security now. It doesn’t really reflect in how they actually build products.” Anthropic en Cursor gaven geen reactie op het stuk.

Wat betekent dit

Wie een codeeragent op een onbekende repository loslaat, geeft die agent in de praktijk meer bewegingsruimte dan de goedkeuringsvragen suggereren. Dat sluit aan op eerder nieuws over codeagenten die ongeclaimde pakketten installeren en over aanvallers die met agents 395 organisaties binnendrongen via een PaperCut-lek. Nu OpenAI met de Agents API in publieke bèta hetzelfde harnas aan alle ontwikkelaars aanbiedt, groeit het aantal plekken waar zulke fouten kunnen landen. Praktisch: houd agents op recente versies, laat ze niet zomaar in vreemde repositories werken en ga ervan uit dat de sandbox eerder een drempel is dan een muur. Anthropic liep eerder deze maand al tegen een vierde incident bij veiligheidstests aan, wat laat zien dat dit voor alle aanbieders werk in uitvoering blijft.