Lỗ hổng “GhostApproval” trong các AI coding agent có thể ghi ra ngoài sandbox
"Wiz identified "GhostApproval," a symlink-based vulnerability pattern in at least six AI coding assistants that can trick agents into writing outside the workspace sandbox, potentially enabling remote code execution or SSH key injection on a developer machine. Amazon Q Developer, Cursor, and Google Antigravity fixed the issue and assigned or pursued CVEs (including CVE-2026-12958 and CVE-2026-50549), while Anthropic, Augment, and Windsurf did not fully remediate at the time of reporting."
Nguy cơ cao do symlink có thể làm agent ghi ra ngoài workspace sandbox, dẫn tới tiêm khóa SSH hoặc remote code execution. Điểm then chốt: UI xác nhận che đích thật, trust-boundary bị phá vỡ.
Tác động đáng kể với doanh nghiệp đang triển khai AI coding agent vì có thể gây gián đoạn bảo mật chuỗi phát triển và rủi ro truy cập dài hạn. Điểm then chốt: cần cập nhật/bản vá, tăng yêu cầu kiểm soát quyền và giám sát khi agent thao tác hệ thống tệp.
Wiz phát hiện một pattern lỗ hổng được gọi là “GhostApproval” có thể bị khai thác trong ít nhất 6 AI coding assistants phổ biến. Theo Wiz, kẻ tấn công có thể lợi dụng symlink (liên kết tượng trưng) để khiến tác nhân (agent) truy cập và ghi tệp ra ngoài workspace sandbox, từ đó dẫn tới remote code execution hoặc tiêm khóa SSH trên máy của nhà phát triển.
Wiz đã báo cáo đến các bên liên quan gồm Amazon Q Developer, Anthropic Claude Code, Augment, Cursor, Google Antigravity và Windsurf. Amazon, Cursor và Google đánh giá nghiêm trọng (critical/high) và đã khắc phục: Amazon phát hành CVE-2026-12958, Cursor phát hành CVE-2026-50549 và Google đang hoàn tất quy trình phát hành CVE. Ở thời điểm công bố, Augment và Windsurf mới thừa nhận báo cáo nhưng chưa có bản vá hoặc cảnh báo người dùng.
Điểm đáng chú ý là cơ chế human-in-the-loop (hộp xác nhận) có thể hiển thị mục tiêu hợp lệ nhưng thực tế thao tác lại hướng tới đích nguy hiểm; do đó người dùng không đưa ra quyết định dựa trên thông tin đầy đủ.
Khuyến nghị: rà soát cấu hình và bản cập nhật của các AI coding agent, hạn chế quyền ghi tệp cục bộ, và ưu tiên kiểm soát/giám sát thao tác tệp liên quan symlink trong quy trình chạy agent.