Sandbox-Escape in KI-Coding-Tools
Sicherheitsforscher haben kritische Sandbox-Escape-Vulnerabilities in mehreren beliebten KI-Coding-Assistenten aufgedeckt: Cursor, Codex, Gemini CLI und Antigravity. Das Problem liegt nicht in der KI selbst, sondern in der Integration zwischen dem KI-Agent und den Host-Systemen.
Das Angriffsszenario
Die Attacke folgt einem einfachen, aber effektiven Muster: Ein Angreifer instruiert den KI-Agenten, bestimmte Dateien zu schreiben. Diese Dateien werden in Verzeichnissen abgelegt, die der Host später ausführt – etwa als Scripts, Konfigurationsdateien oder Abhängigkeiten. Vertrauen die Host-Tools diesen Dateien blind, können sie beliebigen Code ausführen.
Das ist besonders kritisch, weil KI-Coding-Tools oft Dateisystem-Zugriff haben und regelmäßig Code generieren. Die Grenze zwischen legitimer Funktionalität und Exploit verschwimmt.
Betroffene Systeme
Cursor: Der beliebte Code-Editor mit KI-Integration wurde mit einem Patch bedacht.
Codex: OpenAIs Codex-Engine zeigt, dass auch etablierte Modelle anfällig sind.
Gemini CLI: Google's Command-Line-Interface für Gemini-Integration wurde gepatcht.
Antigravity: Zwei Findings wurden hier sogar von Google heruntergestuft – was bedeutet, dass Google die tatsächliche Severity anders bewertet.
CVEs und Patches
Multiple CVE-IDs wurden bereits vergeben. Nutzer sollten ihre Tools aktualisieren, besonders wenn diese auf File-Operationen basieren. Wichtig: Diese Escapes zeigen nicht, dass KI grundsätzlich unsicher ist, sondern dass die Integration zwischen KI und Host-Umgebung sorgfältig designed sein muss.
Implikationen
Das Muster offenbart ein fundamentales Security-Problem bei KI-Coding-Assistenten: Sie brauchen File-System-Zugriff, um nützlich zu sein. Gleichzeitig schafft dieser Zugriff eine Angriffsfläche. Künftige Designs müssen:
- Strikt sandboxen, welche Dateien KI schreiben kann
- Validieren, bevor Host-Tools Dateien ausführen
- Least-Privilege-Prinzipien konsequent umsetzen
Für Entwickler bedeutet das: Blind auf KI-generierte Dateien zu vertrauen, ist riskant. Code-Reviews und Input-Validierung bleiben essentiell.