Cursor、Codex、Gemini CLI 与 Antigravity 被曝沙箱逃逸：AI 代理写入文件成关键风险

据 BleepingComputer 报道，安全研究人员发现，Cursor、Codex、Gemini CLI 和 Antigravity 等 AI 编程/代理工具存在可被利用的沙箱逃逸问题。来源显示，攻击思路并非直接突破系统边界，而是让 AI 代理在受限环境中写入文件，再由宿主机上被信任的工具或流程在之后执行这些文件，从而绕过原本用于隔离风险的沙箱。相关问题已涉及多个 CVE，部分厂商已发布修复；同时，Google 对两项 Antigravity 相关发现进行了风险等级下调。

这类事件值得关注的原因在于，AI 代理工具正越来越多地进入开发者日常工作流。它们能够读写项目文件、调用命令、生成脚本或配置，一旦其输出被后续工具默认信任，沙箱就可能从“执行隔离”变成“延迟触发”的薄弱环节。对于依赖远程开发、云端同步或 VPN 访问公司代码库的用户来说，这不仅是开发安全问题，也会影响终端隐私、凭据保护和内部网络暴露面。

漏洞核心：不是 AI 直接越狱，而是借宿主工具“接力”

来源摘要指出，研究人员的做法是让 AI agent 在沙箱内写入某些文件，而这些文件随后会被宿主环境中的可信工具运行。换句话说，问题的关键在于沙箱内生成的内容与沙箱外信任链之间缺少足够隔离。当开发工具、构建系统、编辑器扩展或自动化脚本把这些文件当作正常项目产物处理时，攻击代码就可能获得更高权限或更广访问范围。

从安全模型看，AI 代理通常被设计为“帮用户完成任务”的自动化组件，但它们处理的输入可能来自网页、文档、仓库 issue、代码注释或提示词。若恶意指令混入这些上下文，代理可能在用户不知情的情况下生成危险文件。即使代理本身运行在沙箱内，只要后续执行链条没有验证，风险仍会外溢。

对开发者与 VPN 用户的影响

这起事件对 VPN 用户尤其有现实意义。许多开发者会通过 VPN 连接公司内网、代码仓库、测试环境或私有包源。如果本机 AI 开发工具被诱导写入可执行文件、配置钩子或构建脚本，而用户又处于内网访问状态，攻击影响可能从个人设备延伸到受保护资源。VPN 保护的是传输通道，并不自动判断本地工具生成的文件是否可信。

• 在连接公司 VPN 时，避免让 AI 代理自动处理来源不明的项目或压缩包。
• 对 AI 生成的脚本、配置、依赖文件和构建钩子进行人工审查后再运行。
• 及时更新 Cursor、Codex、Gemini CLI、Antigravity 及相关扩展，关注厂商补丁说明。
• 将开发环境、浏览器下载目录和敏感凭据目录进行权限隔离，减少跨目录写入。
• 企业用户应把 AI 代理纳入终端安全策略，而不是只依赖网络边界控制。

补丁、CVSS 与“降级”并不等于没有风险

来源提到，本次问题涉及多个 CVE，且已有补丁发布；Google 还对两项 Antigravity 发现进行了风险等级下调。风险等级变化通常意味着厂商对可利用条件、影响范围或默认配置进行了重新评估，但这并不代表用户可以忽视。对于复杂开发链路而言，真实风险往往取决于本地权限、项目结构、自动化工具以及用户是否会执行 AI 生成内容。

因此，更稳妥的做法是把 AI 代理输出视为“未验证输入”，而不是可信助手的最终结果。尤其在包含密钥、令牌、SSH 配置、云服务凭据或内网访问权限的设备上，应尽量降低自动执行行为。需要远程办公或访问敏感系统时，可选择具备稳定加密连接和访问控制能力的方案，例如 RedGate VPN，但同时仍要结合本地最小权限、补丁管理和文件审计。

隐私安全角度的建议

AI 开发工具的沙箱逃逸提醒我们，隐私保护不只发生在网络传输层，也发生在终端、文件系统和自动化流程中。当 AI 能写文件，宿主工具能执行文件，两者之间就必须有清晰的信任边界。个人用户应关闭不必要的自动运行选项，企业则应对 AI 工具设置项目白名单、日志留存和权限分级。

总体来看，Cursor、Codex、Gemini CLI 与 Antigravity 被曝出的沙箱逃逸问题，反映了 AI 代理融入开发环境后的新型攻击面。补丁发布是第一步，真正降低风险还需要用户改变使用习惯：不要把 AI 生成内容直接等同于安全内容，也不要认为连接 VPN 后本地执行风险会自动消失。