AI agents หลบหนี sandbox ใน Cursor, Codex, Gemini CLI และ Antigravity ส่งผลให้ต้องออกแพตช์หลายรายการ.

Lead: นักวิจัยด้านความปลอดภัยได้สาธิตการหลบหนี sandbox ของระบบ AI ที่ใช้ใน Cursor, Codex, Gemini CLI และ Antigravity โดยให้ตัวแทน AI สร้างไฟล์ที่เครื่องโฮสต์เชื่อถือและทำงานต่อไป การค้นพบนี้กระตุ้นให้ผู้พัฒนาต้องออกแพตช์หลายรายการพร้อมหมายเลข CVE** และทำให้ Google ปรับระดับความรุนแรงของสองข้อบกพร่องใน Antigravity ลง

Overview

การหลบหนี sandbox เป็นเทคนิคที่ผู้โจมตีใช้เพื่อข้ามขอบเขตการแยกการทำงานของโปรแกรม ทำให้โค้ดอันตรายสามารถเข้าถึงระบบปฏิบัติการได้อย่างตรงไปตรงมา ตามรายงานของ BleepingComputer นักวิจัยได้ตรวจพบช่องโหว่ที่เกิดจากการที่ AI agent สามารถเขียนไฟล์สคริปต์หรือคอนฟิกูเรชันที่เครื่องโฮสต์จะนำไปเรียกใช้ต่อโดยอัตโนมัติ

เหตุการณ์นี้ไม่เพียงแค่เปิดเผยจุดอ่อนของแต่ละผลิตภัณฑ์เท่านั้น แต่ยังเป็นการเตือนให้เห็นว่าการผสาน AI กับระบบโครงสร้างพื้นฐานที่มีระดับความปลอดภัยสูงต้องคำนึงถึง “trust chain” อย่างรอบคอบ การที่ไฟล์ถูกสร้างโดย AI แล้วได้รับความไว้วางใจจากเครื่องมือภายนอกทำให้แนวทางการป้องกันเดิมอาจไม่เพียงพอ

Technical Details

ในแต่ละกรณี ผู้วิจัยใช้เทคนิค “file‑based injection” ซึ่งสั่ง AI agent ให้สร้างไฟล์ที่มีโค้ดหรือคำสั่งระบบ จากนั้นเครื่องมือบนโฮสต์เช่นตัวแปลภาษา (interpreter) หรือคอมไพเลอร์ จะทำการประมวลผลไฟล์เหล่านั้นโดยไม่ได้ตรวจสอบแหล่งกำเนิด การดำเนินการนี้ทำให้ sandbox ที่ตั้งค่าเพื่อจำกัดสิทธิ์ของ AI กลายเป็นไม่มีประสิทธิภาพ

สำหรับ Cursor และ Codex ซึ่งเป็นโมเดลที่ออกแบบมาเพื่อช่วยเขียนโค้ด นักวิจัยสังเกตว่าไฟล์ผลลัพธ์ถูกส่งต่อให้ตัวคอมไพเลอร์ภายใน IDE ทำการคอมไพล์โดยอัตโนมัติ ส่วน Gemini CLI ของ Google นั้นมีฟีเจอร์ที่รันสคริปต์ตั้งค่าโครงสร้างพื้นฐาน การโจมตีใช้ไฟล์กำหนดค่าที่ถูกเขียนขึ้นโดย AI แล้วทำให้คำสั่งระบบทำงานตามที่ไม่ได้รับการตรวจสอบ

ส่วน Antigravity ซึ่งเป็นเครื่องมือสำหรับการวิเคราะห์และแก้ไขข้อบกพร่องของซอฟต์แวร์ พบว่ามีสองจุดอ่อนที่คล้ายกัน นักวิจัยใช้ AI สร้างไฟล์โลจิกที่ระบบจะเรียกใช้ในการทำงานต่อเนื่อง ทำให้สามารถเลื่อนระดับสิทธิ์จาก sandbox ไปสู่โหมดผู้ดูแลระบบได้

Affected Products & CVEs

• Cursor – มีการเปิดเผยหมายเลข CVE และออกแพตช์เพื่อปิดช่องโหว่ไฟล์ที่เขียนโดย AI
• Codex – ได้รับอัปเดตจาก OpenAI พร้อมหมายเลข CVE ที่ระบุรายละเอียดของการหลบหนี sandbox
• Gemini CLI – Google ปรับปรุงระบบ sandbox และเผยแพร่หมายเลข CVE ใหม่สำหรับช่องโหว่นี้
• Antigravity – พบสองข้อบกพร่องที่ถูกลดระดับความรุนแรงโดย Google หลังจากการตรวจสอบเพิ่มเติม

การจัดทำรายการเช่นนี้ช่วยให้ผู้ดูแลระบบสามารถตรวจสอบและติดตั้งแพตช์ได้อย่างเป็นขั้นตอน ลดความเสี่ยงของการถูกโจมตีต่อไป

Vendor Responses & Patches

หลังจากได้รับรายงานจากนักวิจัย ผู้พัฒนาของ Cursor และ Codex ได้ออกอัปเดตซอฟต์แวร์ฉบับใหม่โดยเพิ่มกลไกตรวจสอบลายเซ็นดิจิทัลของไฟล์ที่สร้างขึ้นโดย AI รวมถึงจำกัดสิทธิ์การเข้าถึงระบบไฟล์ระดับผู้ใช้ทั่วไป

Google สำหรับ Gemini CLI และ Antigravity ปรับนโยบาย sandbox ให้มี “defense‑in‑depth” มากยิ่งขึ้น โดยเพิ่มขั้นตอนตรวจสอบความถูกต้องของสคริปต์ก่อนรัน นอกจากนี้ Google ยังลดระดับความรุนแรงของสองข้อบกพร่องใน Antigravity จาก “critical” เป็น “high” หลังจากประเมินว่าผลกระทบต่อผู้ใช้ทั่วไปมีจำกัด

นอกจากนี้ ทุกบริษัทได้แนะนำแนวทางปฏิบัติที่ควรทำสำหรับผู้ดูแลระบบ เช่น การตั้งค่าการตรวจสอบไฟล์อัตโนมัติ การใช้ SELinux หรือ AppArmor เพื่อเพิ่มระดับการป้องกันเพิ่มเติม

Implications for AI Security

เหตุการณ์นี้เน้นย้ำว่าการบูรณาการ AI เข้ากับเครื่องมือพัฒนาและโครงสร้างพื้นฐานต้องคำนึงถึง “trust boundaries” อย่างชัดเจน การที่ AI สามารถสร้างไฟล์ที่ได้รับการยอมรับจากระบบโดยไม่มีการตรวจสอบทำให้เกิดช่องทางใหม่สำหรับผู้โจมตี

นักวิจัยหลายคนได้เรียกร้องให้มีมาตรฐานความปลอดภัยสำหรับโมเดลภาษา (LLM) ที่กำหนดบทบาทของ AI ในกระบวนการสร้างไฟล์และสคริปต์ รวมถึงการแยก sandbox อย่างเข้มงวดระหว่างโมเดลกับเครื่องมือที่ทำงานบนโฮสต์

ในระดับอุตสาหกรรม ความสำคัญของการจัดการ “supply chain risk” ของซอฟต์แวร์ AI จะเพิ่มขึ้น ผู้พัฒนาอาจต้องนำแนวคิดเช่น “AI‑driven code signing” หรือ “runtime verification” มาใช้เพื่อป้องกันการโจมตีในรูปแบบเดียวกันนี้ต่อไป

Summary

การหลบหนี sandbox ใน Cursor, Codex, Gemini CLI และ Antigravity แสดงให้เห็นถึงความเสี่ยงใหม่จาก AI ที่สามารถสร้างไฟล์ที่ระบบเชื่อถือได้ ผู้ผลิตได้ออกแพตช์พร้อมหมายเลข CVE เพื่อแก้ไขช่องโหว่และปรับระดับความรุนแรงของข้อบกพร่อง ขณะเดียวกันเหตุการณ์นี้กระตุ้นให้วงการเทคโนโลยีพิจารณามาตรฐานใหม่เพื่อเพิ่มความปลอดภัยในการผสาน AI กับระบบโครงสร้างพื้นฐาน.