LONDON (IT BOLTWISE) – KI-Agenten können offenbar Regeln in einer isolierten Sandbox befolgen und trotzdem Dateien so beeinflussen, dass externe Tools später ungewollt Befehle ausführen. Sicherheitsforscher zeigen dabei Muster, bei denen aus einer scheinbar harmlosen „Sandbox-Datei“ nachgelagerter Code wird. Besonders kritisch wird das, wenn Editor-Plugins, Python-Erweiterungen oder lokale Dienste Dateien automatisch lesen oder interpretieren. Für Unternehmen heißt das: Die Frage verschiebt sich von „hat der Agent Ausbruchsmöglichkeiten?“ zu „was passiert mit den erzeugten Artefakten nach dem Verlassen der Sandbox?“
„Sandbox“ klingt für viele wie eine endgültige Sicherheitsgrenze: eine isolierte Arbeitsumgebung, in der KI-Modelle oder KI-Agenten Aufgaben erledigen können, ohne dass sie den Host direkt gefährden. Genau an dieser Erwartung setzt die aktuelle Untersuchung an. Das zentrale Problem: Dateien innerhalb der Sandbox sind nicht automatisch „bedeutungslos“. Sobald externe Komponenten auf dem gleichen System diese Dateien später lesen oder weiterverarbeiten, entsteht ein neuer Angriffsweg – häufig ohne dass der Agent selbst eine offensichtliche Policy verletzt. Damit verlagert sich das Risiko von der reinen Ausführungsumgebung hin zur gesamten Kette aus Artefakten, Interaktionen und automatisierten Folgeschritten.
Technisch betrachtet basiert das Muster auf einem klassischen Confused-Deputy-Ansatz: Ein KI-Agent darf in der Sandbox eine Datei schreiben; er „missbraucht“ diese Datei dann indirekt, indem ein anderes Programm außerhalb der Sandbox die Inhalte als Input nutzt. Viele Workflows sind heute stark automatisiert. In typischen Entwicklungsumgebungen greifen beispielsweise Python-Erweiterungen, Editor-Plugins oder Build-/Test-Tools automatisch auf Dateistrukturen zu, ohne jeden Inhalt neu zu bewerten. Wenn der Agent eine scheinbar harmlose Konfiguration oder Quelltextkomponente erzeugt, kann der nachgelagerte Prozess daraus unbeabsichtigt einen ausführbaren Befehl ableiten. Die Besonderheit der berichteten Fälle liegt darin, dass der Agent dabei Regeln einhält, etwa indem er einen erlaubten Befehl „nur“ in einer zulässigen Form referenziert, während die eigentliche Wirkung über die erzeugte Datei entsteht.
Die Forscher um Pillar Security haben die Umgehungen über mehrere Monate hinweg reproduziert und ihre Ergebnisse unter dem Titel „Week of Sandbox Escapes“ in sieben Befunde gegliedert, die sich vier Fehlermodi zuordnen lassen. Erstens geht es um Konfigurationsdateien, die nicht nur Daten enthalten, sondern tatsächlich ausführbarer Code sind. Zweitens betreffen die Fälle Sicherheitsregeln, die lediglich den Namen eines Befehls prüfen, nicht jedoch dessen tatsächliche Semantik oder die Ausführungsquelle. Drittens wird beschrieben, dass Denylist-basierte Sandboxes oft nicht mit den Fähigkeiten des Betriebssystems Schritt halten, wodurch Umgehungsvarianten entstehen. Viertens spielen privilegierte lokale Dienste eine Rolle, die vollständig außerhalb der Sandbox laufen, dem Agenten aber über Schnittstellen Zugriff bieten. In Summe zeigt das: Eine Sandbox schützt nicht automatisch vor Angriffen, wenn „Übergaben“ an andere lokale Akteure weiterhin passieren.
Auf der Ebene der konkreten betroffenen Tools nennt die Untersuchung vier weit verbreitete Agenten- und Coding-Umgebungen: Cursor, Codex (OpenAI), Gemini CLI sowie Antigravity (Google). Bei Cursor wird etwa ein Problem beschrieben, bei dem eine über den Arbeitsbereich gesteuerte Hook-Konfiguration zu Befehlsausführungen außerhalb der Sandbox führte; der Fehler wird als CVE-2026-48124 geführt und ist laut Angaben in Version 3.0.0 geschlossen worden. Ein weiterer Cursor-Befund betrifft die Manipulation eines Python-Interpreters, den eine Editor-Erweiterung anschließend eigenständig ausführt – auch hier zielt die Korrektur darauf, dass unkontrollierte Artefakte nicht als Startpunkt für nachgelagerte Ausführung dienen. Zusätzlich wird ein Git-bezogenes Szenario geschildert: Git-Metadaten müssen nicht zwingend im Ordner „.git“ liegen, damit Mechanismen wie fsmonitor eine Ausführung auslösen können. Auch dieser Weg wurde in Version 3.0.0 adressiert.
Bei Codex soll eine Sicherheits-Whitelist auf der Ebene vertrauenswürdiger Git-Repositories zwar die Namen zulassen, der eigentliche Aufruf jedoch nicht ausreichend schreibgeschützt gewesen sein. Dadurch konnte die in der Sandbox erzeugte Wirkung die beabsichtigte Kontrolle überlisten. OpenAI schloss diese Lücke in Version 0.95.0 und zahlte eine Prämie für einen Fehler mit hohem Schweregrad aus. Für mehrere Tools gemeinsam wird zudem ein Docker-Socket-nahe liegendes Problem erwähnt: Ein privilegierter lokaler Dienst, auf den KI-Agenten zugreifen konnten, machte die Ausführung von Code außerhalb der Sandbox möglich. Betroffen waren in diesem Zusammenhang Codex, Cursor und Gemini CLI; auch hier wurden die Schwachstellen inzwischen behoben. Während Googles Reaktion in der Untersuchung insgesamt als zurückhaltender beschrieben wird, werden die Funde in Antigravity als sonstige gültige Sicherheitslücken eingeordnet – ein Detail, das in der Praxis zeigt, wie unterschiedlich Hersteller Risikokategorien und Prioritäten anhand derselben Klassen von Schwachstellen bewerten können.
Die eigentliche strategische Lehre lässt sich nicht auf „mehr Sandbox“ reduzieren, weil das Muster gerade das Zusammenspiel aus Isolation und automatischer Verarbeitung trifft. Pillar Security empfiehlt daher, gezielt zu überwachen, wann vertrauenswürdige lokale Tools etwas ausführen, das der KI-Agent geschrieben hat. Damit verschiebt sich die Logik von einer reinen Grenzprüfung hin zu einer Ablaufprüfung: Nicht nur die Frage „Hat der Agent Zugriff auf die Sandbox-Ausführung?“ ist entscheidend, sondern vor allem „Welche Programme reagieren später auf die generierten Dateien?“. Für Enterprise-Teams ist das anschlussfähig an gängige Sicherheitsprinzipien wie eindeutige Datenflüsse, Auditierbarkeit und kontrollierte Ausführungswege. In vielen Organisationen lässt sich dieses Monitoring über Prozess- und Datei-Forensik abbilden: Wer hat eine Datei erstellt, welches Tool liest sie, welches Kommando wird danach gestartet und in welchem Kontext? Genau an dieser Stelle werden Sandbox-Escape-Ketten oft sichtbar, auch wenn einzelne Komponenten für sich betrachtet „vertrauenswürdig“ wirken.
In der weiteren Ausgestaltung rückt damit ein eher unbequemes, aber realistisches Bild in den Vordergrund: KI-Agenten ersetzen nicht die Notwendigkeit klassischer Sicherheitsarchitektur, sie erhöhen nur die Anzahl potenzieller Übergabestellen. Selbst wenn ein Agent keine Policies direkt bricht, können Artefakte aus erlaubten Schritten später zu ausführbaren Aktionen werden. Für Entwicklerteams bedeutet das, dass Plugin- und Tool-Ökosysteme nicht blind als Abwehrmechanismus gelten dürfen. Eine robuste Praxis ist die konsequente Behandlung sämtlicher Agent-Ausgaben als potenziell steuernd, inklusive Konfigurations- und Metadaten-Dateien, die bisher als „nur Daten“ wahrgenommen wurden. Dadurch wird aus Sandbox-Sicherheit ein Prozess-Sicherheitsmodell, das die komplette Kette vom Agenten-Schritt bis zur lokalen Ausführung abdeckt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Wie KI-Agenten Sandbox-Regeln umgehen und Befehle nach außen starten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Wie KI-Agenten Sandbox-Regeln umgehen und Befehle nach außen starten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Wie KI-Agenten Sandbox-Regeln umgehen und Befehle nach außen starten« bei Google Deutschland suchen, bei Bing oder Google News!