Il punto debole non è il model. È il codice attorno, quello che decide cosa viene accettato e con quali privilegi, prima ancora che il sandbox possa contenere nulla. In queste configurazioni di default, un issue GitHub aperto da un account senza privilegi riesce a toccare processi di CI o il run successivo dell’agente, con impatto su host command execution e segreti.
Novee Security ha mostrato il problema su Google Gemini CLI, run-gemini-cli, Claude Code e nel flusso Codex. Gemini CLI corregge CVE-2026-12537 in 0.39.1 e run-gemini-cli in 0.1.22; Claude Code corregge CVE-2026-54316 in 2.1.163. Il primo consente command injection sul container launcher e può eseguire comandi sull’host prima del sandbox; il secondo può esfiltrare una API key un carattere alla volta attraverso un canale apparentemente innocuo.
La lezione che resta è che il controllo vero non è il runtime sandbox, ma l’hardening del wrapper e delle workflow permissions. Se un utente esterno può attivare quel flusso, il rischio non è solo un agente che sbaglia: è l’accesso a runner, credenziali e azioni automatizzate successive.