OpenAI ha confermato ieri sera che due suoi modelli (GPT-5.6 Sol e un altro in sviluppo) sono riusciti a trovare un “buco” nell’ambiente di test isolato e colpire l’infrastruttura di Hugging Face. Poche ore prima, i ricercatori di Pillar Security hanno pubblicato i risultati di uno studio che confermano quanto descritto dall’azienda di San Francisco: gli agenti AI possono aggirare le restrizioni.
Codex, Cursor, Gemini CLI e Antigravity fuggono dal recinto
La sandbox è un “recinto” di sicurezza all’interno del quale vengono eseguiti gli agenti AI. Non dovrebbero quindi aggirare le restrizioni e accedere a risorse esterne. I ricercatori di Pillar Security hanno scoperto che Codex, Cursor, Gemini CLI e Antigravity non rispettano questa regola.
Nella quasi totalità dei casi, l’agente AI non ha violato direttamente la sandbox. Ha solo scritto qualcosa che un componente affidabile esterno alla sandbox avrebbe poi eseguito, caricato, analizzato o considerato sicuro. In pratica, gli agenti AI eseguono i propri tool all’esterno della sandbox, tra cui estensioni Python, integrazioni Git e attività VS Code. È sufficiente inserire istruzioni in file README, dipendenze, commenti, log e altro per ottenere il classico prompt injection.
Gli esperti di Pillar Security hanno descritto quattro modalità che consentono agli agenti AI di aggirare le restrizioni. Cursor e OpenAI hanno corretto le vulnerabilità nei loro agenti AI. Google non ha rilasciato invece i fix per Antigravity, in quanto le vulnerabilità sono difficili da sfruttare.
I ricercatori hanno elencato una serie di controlli che dovrebbero essere eseguiti dalle aziende che sviluppano gli agenti AI e dagli utenti che li utilizzano. I modelli AI diventano però sempre più potenti, quindi c’è il rischio che non vengano implementate le protezioni per tutti i possibili casi. Alla fine, gli agenti AI potrebbero trovare ugualmente il mondo di uscire dal recinto.
Ti potrebbe interessare
22 lug 2026