Kita sudah biasa membaca tentang AI dalam keselamatan siber dari satu sudut: penyerang yang menggunakan ejen untuk bergerak lebih pantas. Sudut kedua lebih penting kepada organisasi anda dan jauh kurang mendapat perhatian. Ejen yang anda jalankan pada mesin pembangun anda sendiri ialah permukaan serangan baharu. Dalam tempoh dua bulan, tiga kumpulan penyelidikan bebas menerbitkan penemuan yang semuanya menuju ke arah yang sama.

Persamaan kes-kes ini bukanlah kecacatan pada model atau jawapan yang salah. Ejen itu tidak pernah keluar dari sandbox-nya dan tidak pernah melanggar sebarang peraturan. Apa yang berlaku ialah ejen membaca atau menulis sebuah fail di dalam projek, kemudian alat dipercayai yang berjalan di luar sandbox melaksanakan kandungan fail tersebut. Sandbox itu bertahan. Pencerobohan itu memintasnya.

Mekanismenya: tetapan prestasi Git yang telah wujud bertahun-tahun

Contoh paling jelas diterbitkan oleh Manifold Security pada 2 September 2026 dengan nama GitSpawn. Ia bergantung pada tetapan Git peringkat projek bernama core.fsmonitor, satu pilihan prestasi yang sah dan didokumenkan yang nilainya ialah arahan yang dijalankan oleh Git untuk mengenal pasti fail yang berubah dengan pantas dan bukannya mengimbas keseluruhan direktori.

Sekarang gabungkan kedua-dua bahagian itu:

  • Ejen pengekodan AI, apabila mula bekerja pada sesebuah projek, secara automatik menjalankan arahan Git seperti git status dan git diff untuk memahami keadaan repositori. Ini tingkah laku yang biasa dan perlu.
  • Jika repositori membawa nilai core.fsmonitor berniat jahat, sekadar menjalankan arahan tersebut akan menjalankan arahan penyerang.

Hasilnya, membuka repositori kod tidak lagi menjadi peristiwa membaca tetapi menjadi peristiwa pelaksanaan. Tiada klik, tiada kelulusan, tiada gesaan dipaparkan kepada pembangun. Menurut laporan tersebut, lapan ejen baris arahan terdedah, dan tampalan menyusul bagi beberapa daripadanya: goose dalam 1.44.0, Claude Code dalam 2.1.196 untuk laluan core.fsmonitor, Codex CLI dalam 0.131.0, serta Cursor. Laporan itu mencatatkan empat laluan masih belum ditampal semasa penerbitan. Kelas ini dijejaki di bawah pengecam termasuk CVE-2026-72718, CVE-2026-19592 dan CVE-2026-55607.

Bukan satu insiden tetapi satu kelas keseluruhan

Enam minggu sebelum GitSpawn, penyelidik di Pillar Security menerbitkan pada 20 Julai 2026 satu siri yang mereka namakan seminggu pelepasan sandbox, mendokumenkan tujuh kelemahan merentasi empat ejen pengekodan daripada tiga vendor: Cursor, Codex, Gemini CLI dan Antigravity. Penerangan mereka tentang mekanismenya wajar dibaca dua kali. Ejen kekal di dalam kotak dan mematuhi setiap peraturan. Ia hanya menulis sebuah fail yang kemudiannya dijalankan, dimuatkan atau diimbas oleh alat dipercayai di luar kotak.

  • Dalam Cursor, fail konfigurasi hook yang dikawal oleh ruang kerja membolehkan pelaksanaan di luar sandbox, dijejaki sebagai CVE-2026-48124 dan dibaiki dalam versi 3.0.0.
  • Dalam Codex CLI, senarai arahan yang dibenarkan mempercayai git show berdasarkan namanya sahaja, walaupun parameter yang dihantar kepadanya boleh menjadikannya lebih daripada baca sahaja. Dibaiki dalam versi 0.95.0.
  • Satu isu soket Docker menjejaskan Codex, Cursor dan Gemini CLI pada masa yang sama.
  • Dalam Antigravity, pintasan senarai larangan Seatbelt macOS dan isu konfigurasi tugas editor, yang kedua-duanya diklasifikasikan oleh Google sebagai sukar dieksploitasi.

Kemudian pada 10 September 2026, Upstarts Media melaporkan pendedahan ketiga, daripada sebuah syarikat permulaan bernama Accomplish, yang meliputi sandbox yang bocor dalam Claude Code, Codex dan Cursor. Angka yang menarik di situ bukanlah kelemahannya tetapi masa untuk membaikinya: isu Cursor diselesaikan dalam kira-kira seminggu, dua isu OpenAI pada bulan Ogos, manakala isu Anthropic mengambil masa kira-kira lima puluh hari merentasi berpuluh-puluh keluaran. Tiga kumpulan penyelidikan, tiga laporan, dua bulan, satu corak.

Mengapa ini penting walaupun anda tidak pernah menulis kod

Kerana risiko itu tidak jatuh pada ejen. Ia jatuh pada mesin yang menjalankannya dan rangkaian tempat mesin itu berada. Stesen kerja pembangun ialah antara peranti yang paling tinggi keistimewaannya dalam mana-mana syarikat: ia menyimpan kunci akses pelayan, token pengerahan, dan selalunya sambungan terbuka ke pangkalan data pengeluaran. Melaksanakan satu arahan padanya bukanlah perkara kecil.

Senario ini bukan sekadar teori di pasaran Saudi. Semak kes-kes berikut dengan syarikat anda sendiri:

  • Kontraktor luar atau agensi pembangunan menyerahkan kod yang kemudiannya dibuka oleh pasukan anda dengan ejen AI pada mesin di dalam rangkaian anda.
  • Projek sumber terbuka yang dimuat turun oleh pembangun untuk mencuba sesebuah pustaka atau pembaikan pantas.
  • Fail yang dihantar melalui e-mel atau WhatsApp daripada pembekal, dinyahzip dan terus dibuka dalam editor.
  • Calon pekerjaan yang menghantar projek contoh untuk dibuka oleh penyemak teknikal.
  • Cabang lama atau repositori yang dipindahkan yang diserahkan semasa pengambilalihan atau penyerahan projek.

Dalam setiap kes ini, andaian yang tidak dinyatakan ialah membuka fail untuk membacanya adalah tindakan yang selamat. Andaian itulah yang telah runtuh.

Apa yang perlu dilakukan minggu ini

Lima langkah, dan yang pertama tidak memerlukan bajet:

  1. Kemas kini alatan ejen di seluruh pasukan hari ini. Tampalan wujud untuk kebanyakan alat ini, dan nilainya terletak pada semua orang menggunakan versi yang telah ditampal, bukan seorang sahaja. Mulakan dengan mengetahui siapa menjalankan apa dan pada versi mana, kerana inventori itu sendiri biasanya tiada.
  2. Anggap kod yang masuk sebagai kandungan yang tidak dipercayai. Kod daripada kontraktor atau sumber terbuka bukanlah dokumen yang anda baca, ia sesuatu yang dilaksanakan. Bukanya kali pertama pada mesin atau bekas yang diasingkan daripada rangkaian kerja.
  3. Asingkan mesin pembangunan daripada kunci pengeluaran. Jangan simpan token pelayan langsung pada mesin tempat projek dari sumber luar dibuka. Kerugian itu kemudiannya kekal dalam peranti tersebut.
  4. Salurkan pengerahan melalui saluran berpusat, bukan komputer riba peribadi. Apabila pengerahan melalui satu saluran binaan dengan kebenaran terhad, menceroboh satu mesin tidak lagi menjadi laluan ke pengeluaran.
  5. Tambah satu klausa pada kontrak pembangunan penyumberan luar. Anda berhak menetapkan cara kod diserahkan dan dari repositori mana, serta mewajibkan vendor memastikan alatannya sentiasa dikemas kini. Ini syarat kontrak, bukan perdebatan teknikal.

Di peringkat tempatan, tiada satu pun daripada ini merupakan amalan baik yang pilihan. Kawalan Keselamatan Siber Penting yang dikeluarkan oleh Pihak Berkuasa Keselamatan Siber Kebangsaan (NCA) merangkumi domain yang jelas untuk keselamatan titik akhir, keselamatan pengurusan perubahan dan pembangunan, serta keselamatan pihak ketiga, manakala tanggungjawab perlindungan data peribadi kekal pada organisasi di bawah Undang-undang Perlindungan Data Peribadi (PDPL). Jika pintu terbuka melalui mesin pembangun yang membuka projek vendor, ia tidak mengurangkan liabiliti.

Pandangan Origami

Kami membaca ketiga-tiga laporan ini sebagai pembetulan kepada satu idea yang tersebar dengan pantas: bahawa sandbox sudah memadai selagi ejen terkunci di dalamnya. Kelemahan ini tidak memecahkan pengasingan. Ia menggunakan jambatan sah yang membawa sesuatu yang ditulis di dalam kotak kepada alat yang berjalan di luarnya. Ini bermakna soalan yang tepat bukanlah sama ada ejen berada dalam sandbox, tetapi alat mana yang membaca apa yang dihasilkan oleh ejen, dan dengan keistimewaan apa alat tersebut berjalan.

Satu pemerhatian praktikal daripada apa yang kami lihat di pihak pelanggan: penggunaan alatan AI dalam pasukan pembangunan bergerak berbulan-bulan lebih awal daripada mana-mana dasar yang mengawalnya. Seorang pembangun mencuba sesuatu alat, menyukainya, dan ia menjadi sebahagian daripada aliran kerja harian tanpa keputusan, tanpa semakan dan tanpa inventori. Masalahnya bukan alat itu. Masalahnya ialah ia masuk melalui pintu yang tidak diawasi oleh sesiapa. Apabila kami menyemak persekitaran pelanggan, kami bermula tepat di sini: alat mana yang sebenarnya berjalan pada mesin pasukan, dengan keistimewaan apa, dan apa yang berlaku jika satu arahan dilaksanakan pada salah satunya malam ini. Jika anda mahukan semakan dari sudut ini, anda boleh menemui kami di halaman hubungi.

Kesimpulannya

Tiga pendedahan bebas dalam tempoh dua bulan menyatakan perkara yang sama: ejen pengekodan AI menukar tindakan membuka projek daripada membaca kepada pelaksanaan, dan yang diperlukan hanyalah pihak luar meletakkan satu baris dalam fail konfigurasi. Tampalan telah dikeluarkan untuk kebanyakan alat dan sesetengah laluan kekal terbuka, tetapi pengajarannya bertahan lebih lama daripada mana-mana keluaran. Mana-mana alat yang anda jalankan pada mesin berkeistimewaan tinggi adalah sebahagian daripada permukaan serangan anda, sama ada disenaraikan dalam dasar anda atau tidak. Mulakan dengan satu soalan: siapa dalam pasukan anda yang sedang menjalankan ejen AI sekarang, pada mesin mana, dan pada versi apa?

Sumber