สัปดาห์แห่งการหลุด sandbox — Pillar Security เปิดช่องโหว่ escape ใน Cursor, Codex CLI, Gemini CLI และ Antigravity พร้อมกัน

ระหว่างวันที่ 14–20 กรกฎาคม 2026 ทีมวิจัยของ Pillar Security (Eilon Cohen, Dan Lisichkin, Ariel Fogel) ทยอยเผยแพร่ผลวิจัยชุด “The Week of Sandbox Escapes” ซึ่งสรุปในโพสต์รวมวันที่ 20 กรกฎาคม — เป็นการเปิดช่องโหว่แบบประสานงาน (coordinated disclosure) ที่กระทบ AI coding agent สี่ตัวที่นักพัฒนาใช้กันทุกวัน: Cursor, OpenAI Codex CLI, Google Gemini CLI และ Google Antigravity

จุดที่ทำให้งานชุดนี้น่ากลัวไม่ใช่จำนวนช่องโหว่ แต่คือ รูปแบบร่วม ของมัน เอเจนต์ทุกตัวไม่ได้ถูกเจาะ sandbox โดยตรง — sandbox ยังทำงานถูกต้องตามกฎทุกข้อ ปัญหาคือ เอเจนต์เขียนไฟล์ออกไป แล้วเครื่องมืออื่นนอก sandbox หยิบไฟล์นั้นไปรัน โหลด หรือสแกนต่อ โดยเชื่อว่ามันปลอดภัย ประโยคสรุปของ Pillar คมมาก: “ถ้าเอเจนต์เขียน input ในอนาคตของระบบอื่นได้ มันก็ไม่เคยถูก sandbox จริง ๆ ตั้งแต่แรก”

กลไก: prompt injection ที่ไม่ต้องหนีออกจากกล่อง

ห่วงโซ่การโจมตีเริ่มจาก prompt injection ที่ฝังอยู่ในของธรรมดาที่เอเจนต์ต้องอ่านอยู่แล้ว — ไฟล์ README, dependency, หรือ diff ของ PR เมื่อเอเจนต์อ่านคำสั่งที่ซ่อนไว้ มันก็ทำตามโดยยังอยู่ใน sandbox ทุกประการ แต่ผลของการ “ทำตาม” คือการ เขียนไฟล์ config ที่ host จะเอาไปรันเองในภายหลัง — เท่ากับ blast radius ของเอเจนต์ไม่ใช่แค่ตัว process ของมัน แต่คือ ทุกอย่างที่มันเขียนถึงได้

Pillar จัดหมวดความล้มเหลวออกเป็นสี่แบบที่เกิดซ้ำ:

1. Denylist ตามไม่ทัน — sandbox แบบบัญชีดำ (เช่น macOS Seatbelt profile) ไล่ปิดฟีเจอร์ OS ไม่ทันของใหม่
2. Config คือโค้ด — ไฟล์ตั้งค่าใน workspace กลายเป็นโครงสร้างที่รันได้เมื่อ host เอาไปประมวลผล
3. Allowlist ที่เชื่อชื่อคำสั่ง — นโยบายอนุญาตคำสั่งตาม “ชื่อ” โดยไม่ดู argument หรือผลข้างเคียงจริง
4. Daemon ที่มีสิทธิ์สูงอยู่นอก sandbox — บริการในเครื่อง (เช่น Docker socket) ที่เอเจนต์เรียกถึงได้แต่ไม่เคยถูกจำกัด

ช่องโหว่รายตัว และเวอร์ชันที่แก้แล้ว

Pillar ระบุช่องโหว่พร้อมสถานะการแก้ไว้ชัดเจน:

• Cursor — สามช่องโหว่ แก้รวมใน v3.0.0:
  • แก้ไข interpreter ใน virtualenv ที่ Python extension เอาไปรัน
  • ไฟล์ config .claude hook (.claude/settings.local.json) ที่เปิดทางรันคำสั่งในเครื่องเมื่อจบ agent turn โดยไม่ต้องขออนุญาต — CVE-2026-48124 (CVSS 8.5 ระดับ HIGH)
  • การอ้อมผ่าน git metadata (fsmonitor) เพื่อข้ามกฎ sandbox — แก้แล้ว รอออก CVE
• OpenAI Codex CLI — allowlist ของ “คำสั่งปลอดภัย” เชื่อ git show ตามชื่อ ทั้งที่วิธีเรียกจริงไม่ใช่ read-only แก้ใน v0.95.0 และ OpenAI จ่าย bounty ระดับ high-severity
• Codex + Cursor + Gemini CLI พร้อมกัน — ช่องโหว่ผ่าน Docker socket ที่เปิดให้รัน daemon สิทธิ์สูง — แก้แล้วทั้งสามตัว
• Google Antigravity — สองช่องโหว่ (Seatbelt profile แบบ denylist และ VSCode task config ที่ host เอาไปรัน) Google ปรับลดระดับความรุนแรง โดยมองว่า “ใช้ประโยชน์ได้ยาก” แม้จะชมคุณภาพรายงานว่า “ยอดเยี่ยม”

การตอบสนองของแต่ละเจ้าต่างกันอย่างชัดเจน: OpenAI แก้เร็วและจ่าย bounty, Cursor รวมแก้ทั้งชุดใน major release เดียว ส่วน Google เลือกลดระดับความรุนแรงของสองรายการฝั่ง Antigravity

สิ่งที่นักพัฒนาต้องทำวันนี้

ข้อสรุปเชิงปฏิบัติตรงไปตรงมา: อัปเดตทันที — Cursor เป็น v3.0.0 ขึ้นไป และ Codex CLI เป็น v0.95.0 ขึ้นไป ถ้าทีมคุณต่อ agent เข้ากับ Docker หรือรันในเครื่อง dev ที่มี Docker socket เปิดอยู่ ให้ตรวจสอบเป็นพิเศษเพราะช่องโหว่ socket กระทบข้ามสามเครื่องมือ และถ้าใช้ Antigravity ก็ควรถือว่าความเสี่ยงยังคงอยู่แม้ Google จะจัดเป็นระดับปกติ

มุมมอง AI Curator

งานชุดนี้สำคัญกว่าที่หัวข้อข่าวบอก เพราะมันไม่ใช่ “บั๊กของ Cursor” หรือ “บั๊กของ Codex” แต่มันคือ ข้อบกพร่องเชิงสถาปัตยกรรมร่วม ของยุค agentic coding ทั้งยุค ทุกเจ้าออกแบบ sandbox มากันเอเจนต์ไว้ในกล่อง แต่ลืมไปว่าเอเจนต์สมัยนี้ทำงานด้วยการ เขียนไฟล์ เป็นหลัก และไฟล์เหล่านั้นวิ่งออกไปหาเครื่องมือที่อยู่นอกกล่องซึ่ง “เชื่อ” ไฟล์ในโปรเจกต์โดยอัตโนมัติ — Python extension, git fsmonitor, Docker socket, hook config เหล่านี้ล้วนถูกออกแบบในยุคก่อนที่โค้ดในโปรเจกต์จะถูกเขียนโดย AI ที่อ่าน README ของคนแปลกหน้าแล้วทำตาม

นี่คือเหตุผลที่โมเดล security แบบ “sandbox เอเจนต์” กำลังจะไม่พอ ตราบใดที่ สิ่งที่เอเจนต์เขียนถูกเชื่อโดย default เส้นรอบวงของ sandbox ก็เป็นแค่ภาพลวงตา ทางแก้ที่ยั่งยืนไม่ใช่การไล่ปิดช่องทีละอัน แต่คือการเปลี่ยนสมมติฐาน: ไฟล์ทุกไฟล์ที่เอเจนต์แตะควรถูกปฏิบัติเหมือน input ที่ไม่น่าเชื่อถือ ไปจนสุดทาง รวมถึงตอนที่เครื่องมืออื่นเอาไปใช้ต่อ — ซึ่งเป็นโจทย์ที่ยากกว่าเดิมมาก เพราะมันต้องแก้ทั้ง ecosystem ไม่ใช่แค่ตัวเอเจนต์

สำหรับทีมไทยที่กำลังเร่ง roll-out AI coding agent ทั้งองค์กร บทเรียนที่ตรงที่สุดคือ อย่าให้เอเจนต์รันบนเครื่องที่มีสิทธิ์เข้าถึงของจริง (production credential, Docker socket, cloud key) โดยไม่มีการแยกชั้น การรันเอเจนต์ใน environment ที่ throwaway ได้จริง — container ใหม่ต่อ session, ไม่มี secret ติดอยู่, mount เฉพาะที่จำเป็น — ไม่ใช่เรื่อง “เผื่อไว้” อีกต่อไป แต่คือ baseline ขั้นต่ำหลังจากสัปดาห์นี้ และเมื่อดึง dependency หรือ clone repo จากภายนอกมาให้เอเจนต์อ่าน ให้จำไว้ว่า README ก็เป็น attack surface ได้เท่ากับโค้ด

แหล่งข่าว

• The Week of Sandbox Escapes — Pillar Security
• Cursor, Codex, Gemini CLI, Antigravity hit by sandbox escapes — BleepingComputer
• CVE-2026-48124 — Cursor workspace-defined Claude hook execution (NVD, CVSS 8.5)