技术深度剖析
Cursor沙箱逃逸事件暴露了传统容器化威胁模型与自主AI Agent现实之间的根本性错配。Docker及类似容器运行时假设容器内的工作负载要么是可信的，要么是确定性的。而AI Agent两者都不是：它是一个随机性程序，其行为由外部、可能具有对抗性的提示所引导。
攻击链
攻击分四个阶段展开：
1. 提示注入： 攻击者提交了一个看似请求良性代码重构的提示，但其中包含隐藏指令，要求将一个共享库（`libevil.so`）写入可写目录。
2. LD_PRELOAD劫持： 该提示随后指示Agent将`LD_PRELOAD`环境变量指向`libevil.so`，并执行一个合法的系统命令（例如`ls`）。该库钩住了`execve`系统调用，并执行了攻击者的载荷。
3. 系统调用提权： 载荷使用`ptrace`附加到Agent自身的进程，然后调用带有`CLONE_NEWNS`标志的`clone`来创建新的挂载命名空间，从而逃逸出容器的文件系统隔离。
4. 宿主机沦陷： 从新的命名空间出发，攻击者通过一个以写权限挂载的共享卷，将SSH授权密钥写入宿主机的`/root/.ssh/`目录。
为什么应用层沙箱会失败
像Docker、gVisor和Firecracker这样的应用层沙箱在系统调用拦截层运行。它们基于预定义的策略过滤系统调用。然而，AI Agent需要广泛的系统调用来正常运行——`execve`、`open`、`read`、`write`、`mmap`、`clone`、`ptrace`（用于调试）。策略必须足够宽松以允许正常操作，同时又足够严格以阻止攻击。这是一个经典的矛盾，无法在应用层解决，因为策略无法区分`ptrace`的合法使用（调试子进程）和对抗性使用（钩住系统调用）。
内核级解决方案
弥合这一差距的唯一方法是在内核层面使用强制访问控制（MAC）系统来强制执行安全策略，这些策略不能被Agent或其容器修改。关键技术包括：
- SELinux / AppArmor： 这些Linux安全模块（LSM）可以实施类型强制和基于路径的限制，这些限制在命名空间逃逸后仍然有效。例如，SELinux策略可以阻止Agent容器内的任何进程写入`/root/.ssh/`，无论挂载命名空间如何变化。
- 基于eBPF的LSM钩子： Linux内核现在支持附加到LSM钩子的eBPF程序。这允许动态、细粒度的策略，可以检查系统调用参数，甚至Agent的上下文（例如，哪个提示触发了该系统调用）。一家名为KernelSafe的初创公司开源了一个名为`bpfsand`的工具（GitHub: kernelsafe/bpfsand，2.3k星标），它使用eBPF基于Agent当前指令的哈希值来强制执行每个系统调用的策略。
- 轻量级虚拟机（microVM）： Firecracker和Cloud Hypervisor通过KVM提供硬件强制隔离。即使Agent的操作系统被攻破，虚拟机监控器也能阻止对宿主机的访问。代价是性能：microVM具有更高的启动延迟（50–200ms）和内存开销（每个VM约50MB），使其不适用于实时代码补全，但对于Agent执行来说是可行的。
性能对比
| 隔离方法 | 系统调用开销 | 启动延迟 | 内存开销 | 逃逸抵抗性 |
|---|---|---|---|---|
| Docker（默认） | <1% | <100ms | ~10MB | 低 |
| gVisor (ptrace) | 10–30% | <50ms | ~30MB | 中 |
| Firecracker microVM | 2–5% | 50–200ms | ~50MB | 高 |
| SELinux + eBPF | 1–3% | <10ms | <5MB | 非常高 |
数据结论： 将SELinux与基于eBPF的动态策略相结合，为AI Agent提供了性能与安全性的最佳平衡。对于大多数Agent任务而言，microVM显得大材小用，并且会为交互式编码会话引入不可接受的延迟。
关键参与者与案例研究
Cursor (Anysphere)
Cursor是领先的AI原生代码编辑器，截至2026年第二季度，拥有超过300万月活跃开发者。其Agent模式于2026年初推出，允许AI自主执行Shell命令、修改文件和运行测试。此次沙箱逃逸迫使Cursor暂停了所有用户的Agent执行，同时重新设计其安全架构。Anysphere已宣布与KernelSafe合作，计划在2026年8月的下一个版本中集成`bpfsand`。
竞争对手及其方法
| 产品 | 隔离方法 | Agent能力 | 安全事件 |
|---|---|---|---|
| Cursor | Docker + seccomp | Shell、文件写入、git | 沙箱逃逸（2026） |
| GitHub Copilot Workspace | gVisor | 文件读/写、终端 | 无报告 |
| Replit Agent | Firecracker microVM | 完整OS访问 | 2次轻微逃逸（2025） |
| Codeium Windsurf | Docker + AppArmor | 文件读/写、终端 | 无报告 |