Pillar Security ordnet die insgesamt sieben Befunde vier Fehlermustern zu. Auslöser ist demnach häufig Prompt Injection: Eine bösartige Anweisung in einer README-Datei, einem Issue, einer Abhängigkeit oder einem Diff kann in eine lokale Aktion auf dem Entwicklergerät münden. Der Agent muss dafür nach Darstellung der Forscher keine Regel brechen, sondern nur Dateien so beeinflussen, dass externe Werkzeuge sie später verarbeiten.

Als Beispiel nennt Pillar mehrere Schwachstellen in Cursor. Eine vom Workspace kontrollierte Hook-Konfiguration für .claude führte zu einer nicht sandboxierten Befehlsausführung. Die Schwachstelle wird als CVE-2026-48124 verfolgt und wurde in Version 3.0.0 behoben. Ein zweiter Fehler erlaubte es dem Agenten, einen Interpreter in einer virtuellen Python-Umgebung zu verändern, den die Python-Erweiterung des Editors bei der Erkennung selbstständig startete. Ein dritter Befund nutzte aus, dass Git-Metadaten nicht zwingend in einem Ordner namens .git liegen müssen. Dadurch ließ sich eine Ausführung über fsmonitor auslösen und Cursors pfadbasierte Regeln umgehen. Dieser Fehler wurde ebenfalls in 3.0.0 geschlossen; eine CVE ist noch ausstehend.

Beim Codex CLI betraf der Fehler eine als sicher gedachte Erlaubnisliste für Befehle. Diese vertraute laut Pillar dem Namen git show, obwohl der tatsächliche Aufruf nicht schreibgeschützt war. OpenAI behob das Problem in v0.95.0, zahlte eine Prämie für einen Befund mit hohem Schweregrad; eine CVE steht noch aus.

Ein weiterer Befund betraf gleichzeitig Codex, Cursor und Gemini CLI. Dabei war ein lokaler Docker-Daemon mit erweiterten Rechten für die Agenten erreichbar. Nach Angaben von Pillar entstand dadurch ein nicht sandboxierter Ort zur Codeausführung. Dieses Problem ist inzwischen behoben.

Zurückhaltender fiel laut Pillar die Reaktion von Google auf zwei Befunde in Antigravity aus: eine Umgehung einer Seatbelt-Sperrliste unter macOS und eine Umgehung des Secure Mode über eine Aufgabenkonfiguration in .vscode. Google habe beide als „andere gültige Sicherheitslücken“ eingestuft und abgewertet, weil sie nach dieser Einschätzung schwer auszunutzen seien und Social Engineering oder das Vertrauen eines Nutzers in ein Repository mit indirekter Prompt Injection voraussetzten. Zugleich zitiert Pillar Rückmeldungen von Google, wonach ein Bericht „von außergewöhnlicher Qualität“ gewesen sei.

Neu ist die Grundidee nicht. Bereits im April dokumentierte Cymulate laut dem Bericht dasselbe Muster unter der Bezeichnung „konfigurationsbasierter Sandbox-Ausbruch“ in Claude Code, Gemini CLI und Codex CLI. Gemeint ist ein Szenario, in dem eine innerhalb der Sandbox geschriebene Datei beim nächsten Start auf dem Host ausgeführt wird.

Nach Ansicht von Pillar liegt die eigentliche Signalwirkung in der Breite des Problems: Derselbe Fehlertyp taucht in vier Werkzeugen von drei Anbietern auf. Als Gegenmaßnahme schlägt das Unternehmen nicht einfach weitere Listen verbotener Dateinamen vor, sondern eine Überwachung des Moments, in dem ein vertrauenswürdiges lokales Werkzeug etwas ausführt, das zuvor vom Agenten geschrieben wurde.

Die meisten der gemeldeten Probleme sind laut Bericht gepatcht und von den betroffenen Anbietern bestätigt worden.