Gli assistenti che scrivono codice al posto nostro girano dentro una sandbox: un recinto che dovrebbe impedire all’agente di toccare quello che c’è fuori dal progetto su cui sta lavorando. Secondo una startup israeliana di sicurezza, quel recinto ha dei buchi in tutti e tre i prodotti più usati — Claude Code di Anthropic, Codex di OpenAI e Cursor — e la cosa più interessante non sono le falle in sé, ma i tempi con cui sono state chiuse.
Chi lo dice
La ricerca arriva da Accomplish, società con sede a Tel Aviv fondata da Amit Avner, Or Hiltch e Guy Zipori, e finora rimasta fuori dai radar. I fondatori parlano di un «problema strutturale di sicurezza» negli agenti di programmazione, non di un difetto isolato di un singolo prodotto. Il dettaglio tecnico delle vulnerabilità, va detto, non è pubblico: la ricostruzione è stata pubblicata da Upstarts Media e la parte più specifica resta dietro abbonamento.
Una settimana contro cinquanta giorni
Il confronto sui tempi di risposta è il cuore della vicenda. Cursor ha corretto la falla segnalata a luglio in circa una settimana. OpenAI ha chiuso due problemi ad agosto, anche lì nel giro di una settimana, e ha risposto pubblicamente: «Ringraziamo i ricercatori per averci contattato e condiviso quello che hanno trovato. Abbiamo risolto entrambi i problemi ad agosto e continuiamo a rafforzare le nostre sandbox».
Anthropic ci ha messo circa cinquanta giorni e una trentina di aggiornamenti software. L’azienda non ha voluto commentare, e nemmeno Cursor.
La domanda scomoda
Or Hiltch la pone in modo diretto: «Se questi modelli di frontiera sono così bravi, come mai non trovano queste vulnerabilità critiche nei loro stessi prodotti?». È una domanda che vale al di là del caso specifico. Gli stessi laboratori che pubblicano rapporti su agenti capaci di scovare falle nel software altrui impiegano settimane a chiudere quelle di casa propria.
Il tema si incrocia con quello che sta succedendo fuori dai laboratori. Ieri GreyNoise ha documentato una campagna in cui centinaia di agenti guidati da Codex e da un modello DeepSeek hanno violato 395 organizzazioni sfruttando falle già note. Un agente che scappa dalla propria sandbox non è uno scenario teorico, è lo stesso meccanismo visto dall’altro lato.
Cosa cambia per chi lavora
Chi usa questi strumenti su un computer aziendale dovrebbe sapere che la sandbox è un livello di difesa, non una garanzia. Le aziende lo riconoscono implicitamente quando costruiscono protezioni aggiuntive: Anthropic, per esempio, ha impostato i suoi Enterprise Frontier Safeguards in modo che i log dei clienti restino nel cloud dei clienti.
La ricostruzione originale è su Upstarts Media.
Cinquanta giorni non sono un’eternità per una patch di sicurezza, ma diventano un dato pesante se confrontati con i sette giorni dei concorrenti sullo stesso tipo di problema. È il confronto, non il numero assoluto, a raccontare la priorità che ciascuno ha dato alla cosa.
Immagine di apertura: Pexels.
