Cuatro herramientas distintas, cuatro fallas distintas y un mismo patrón: el sandbox confía en algo que el agente puede manipular. Esta es la guía de referencia de cómo ocurren estos escapes y qué revisar antes de dar a un agente acceso a tu código.
Un roundup de Adversa AI de octubre de 2026 reúne varias fallas recientes de agentes de código. Revisé los reportes originales de cuatro de ellas:
Según el análisis de Ox Security, DeepSeek Harness validaba su API local leyendo la cabecera Host: si decía loopback, la petición se consideraba confiable. El sandbox (bubblewrap/Seatbelt) limitaba escrituras de archivos pero dejaba abierta la red loopback, así que un agente confinado podía hacer un solo curl al puerto 3080, pasar su sesión a "danger-full-access" y desactivar las aprobaciones. Cronología publicada: reporte el 24 de agosto, parche el 27, CVE publicado el 8 de septiembre.
El reporte de Accomplish AI describe dos escapes en Codex, ambos reportados el 12 de agosto y corregidos en ocho días. En "Overpatch", apply_patch concedía escritura sobre los directorios padre de las rutas del parche; nombrar /tmp abría escritura sobre el disco y un symlink permitía modificar ~/.zshrc, ejecutando comandos fuera del sandbox en el siguiente shell. En "Heapjack", el Node REPL de Codex Desktop guardaba un token de validación en el heap V8 accesible al código no confiable; con v8.getHeapSnapshot() se podía leer el token y falsificar peticiones al proceso padre.
En Mistral Vibe, SecMate explica que la capa de permisos usaba Tree-sitter para extraer solo el nombre del comando y algunos argumentos, descartando asignaciones de entorno, redirecciones y expansiones, pero el shell recibía la cadena completa. Con PATH=./bin:$PATH cat README.md el verificador veía cat README.md (permitido) y el shell resolvía cat a un ejecutable del repositorio. La entrega requería contenido hostil en el repo (commits, documentación, issues) que el modelo convirtiera en una llamada a herramienta. La corrección fue "fail-closed": sintaxis que el verificador no puede modelar ya no se auto-aprueba.
En brig, Endor Labs documenta que un agente puede reemplazar un subdirectorio del proyecto por un symlink; en la siguiente ejecución, brig resolvía el enlace en el host y montaba el destino con lectura y escritura dentro del sandbox. El espacio de trabajo tenía protecciones contra symlinks, pero el montaje del proyecto no. Los mantenedores propusieron llamarlo "project-mount symlink traversal" y no "sandbox escape", porque el aislamiento de la microVM seguía intacto.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel