何が起きたか
VulnCheckにより2026-10-12に公開（CVSS 8.8 v3.1 スコープ変更 / 9.3 v4.0、CWE-1188）。コンテナワークスペース内のエージェント実行コードは、ホスト上の絶対パスを解決してホストファイルを読み書きでき、文書化された分離をバイパスする。NVD REST APIで検証済み。
なぜ重要か
サンドボックス分離は、プロンプトインジェクション/AI生成コード実行に対する主要な緩和策である。サンドボックス層のコンテナエスケープは、エージェント実行問題をホスト侵害に変換する。爆発半径はsandboxed.shを実行しているすべてのホストであり、悪用パスは人間の承認を必要としない。
攻撃経路
エージェント実行（プロンプトインジェクションまたは信頼できない）コードがコンテナワークスペース内でエスケープをトリガーする。欠陥は、ワークスペースのアタッチメントがchroot --rootなしのnsenterを使用するため、ワークスペース内から絶対ホストパスが解決可能になり、ホストファイルの読み書きが可能になることである。
影響を受けるシステム
sandboxed.sh / Th0rgal orb 1.3.0まで（AIエージェントコード実行用コンテナサンドボックス）
緩和策
この期間中に公式の修正リリースは発表されていません。コミット4ab42e91とVulnCheckアドバイザリを参照してください。パッチ適用まで、sandboxed.shを信頼できないエージェントコードの分離に依存しないでください。