Исследование Pillar Research: песочницы не готовы для агентного ИИ — в Google отказались патчить Antigravity

Исследование Pillar Research: песочницы не готовы для агентного ИИ — в Google отказались патчить Antigravity. Фото: СС0

Специалисты компании утверждают, что, поскольку агентам часто не требуется напрямую нарушать границы — достаточно написать код, который доверенный компонент вне песочницы позднее выполнит или обработает как безопасный.

В ходе анализа были обнаружены четыре повторяющихся типа отказов: песочницы с запретами, не успевающие за сложностью ОС; конфигурации рабочей области, являющиеся исполняемым кодом; «безопасные» списки команд, доверяющие именам, а не их вызовам; и привилегированные локальные демоны, полностью находящиеся вне песочницы.

В Pillar Research подчеркнули, что радиус поражения агента ограничивается не только самим процессом, но и всем, к чему он может записывать данные и чему хост доверяет в дальнейшем, поэтому для агентных сред недостаточно просто иметь песочницу — необходимо доказывать границы, контролировать запись, управлять доступом к локальным демонам и иметь телеметрию для доверенных компонентов.

Хотя некоторые уязвимости были исправлены в Cursor, Codex CLI и Gemini CLI, две проблемы, обнаруженные в Google Antigravity, были классифицированы как «обычные приложения Google», после чего компания применила понижение версии, отказавшись выпускать патчи на том основании, что уязвимость трудно использовать, оставив свои среды без исправлений, несмотря на предупреждения исследователей.