外观
编码 Agent 沙箱的跨产品重复失效模式
摘要
Black Hat Asia 2026 的 Bad Vibes 报告在 GitHub Copilot、Gemini CLI、OpenAI Codex、Claude Code、Amazon Q/Kiro、Cursor 等编码 Agent 中发现 70 余项严重问题。研究将提示词注入、命令行处理、路径处理和沙箱策略组合为跨产品的信任交接风险，而非单一隔离原语被击穿。
公开材料限制：当前可获得会议摘要和幻灯片，未公开统一的漏洞清单、完整复现脚本、各产品版本矩阵或可直接复用的利用链。本文仅记录公开材料支持的共同失效模式，不判断所有产品或版本均受影响。
核心创新与差异
原研究的价值在于跨产品比较：不同界面和架构的编码 Agent 都可能在“模型处理不可信输入后，宿主可信组件执行文件、路径或命令”的交接处出现问题。本站将首个失效控制定位为跨组件信任对象没有被完整绑定，而不是泛称为沙箱逃逸。
威胁模型与攻击链
攻击者通过仓库内容、文件名、路径或其他可被编码 Agent 读取的输入影响其规划；Agent 随后触发命令、文件系统或宿主侧可信组件。影响是否发生取决于产品的批准策略、路径解析、命令参数验证、Hook/配置可信度和网络隔离。
攻击工件与复现材料
来源未公开可核验的完整 Payload、命令序列或产品级 PoC。验证应仅在自有测试仓库和无副作用命令夹具中进行，检查不可信文件是否能改变已批准命令的实际路径、参数或执行上下文；不得在真实主机或第三方项目中复现。
实验设计与实际过程
摘要称研究覆盖多种主流编码 Agent，并演示提示词注入在命令行、路径和沙箱特性组合下的严重影响。公开材料没有给出每个产品的测试版本、分母、成功率或独立复现，本站未复现。
关键结果与实际影响
研究支持的可迁移结论是：Agent 沙箱评估不能只检查 namespace、microVM 或系统调用过滤，还必须追踪 Agent 生成或读取的产物如何被宿主可信进程重新解释和执行。
防护措施与验证方法
对命令与参数实施服务端或运行时 allowlist；在解析后再次校验真实路径与工作区边界；将 Hook、配置和下载产物按不可信输入处理；对高影响动作显示规范化目标；将网络、文件和凭据权限限制在最小范围。
局限与待验证问题
需要公开漏洞编号、版本、修复状态、复现基线和跨平台对照，才能比较不同编码 Agent 的实际风险与防护开销。