Gambit Security and CloudSEK report that the ransomware group Aurora abused Cursor's AI agent for real intrusion work. Posing the tasks as an "authorized exercise" to slip past the safeguards, they had it handle reconnaissance and privilege takeover on the back of stolen credentials—a warning that a
ランサムウェア集団AuroraがCursorのAIエージェントを実際の侵入作業に悪用していたと、Gambit SecurityとCloudSEKが報告。「許可された演習」と偽って安全弁を回り込み、盗んだ認証情報を前提に偵察や権限奪取を代行させていた。開発者を速める道具は、攻撃者も速める――という警鐘。
OpenAI's Codex 0.151.0 adds an "exit checkpoint" that lets you inspect and rewrite an MCP tool's return values before the model reads them. Alongside 0.150's Interrupt hooks and the ongoing autonomy fixes, we trace how agent safety design is opening up to the operator's discretion.
OpenAIのCodex 0.151.0が、MCPツールの戻り値をモデルが読む前に検査・書き換えできる「出口の関所」を追加。0.150のInterruptフックや自走まわりの修正とあわせ、エージェントの安全設計が運用者の裁量に開かれつつある動きを整理します。
Claude Code v2.1.251 is out. It ships PreModelSwitch/PostModelSwitch hooks that intercept model switches, a prompt-cache breakdown and spend-limit bar in /cost, and a fix for a symlink loophole in file operations — all at once, shoring up the plumbing for unattended operation.
Claude Code v2.1.251が公開。モデル切替に割り込むPre/PostModelSwitchフック、/costのプロンプトキャッシュ内訳と支出上限バー、そしてファイル操作のsymlink抜け穴修正を同時に載せ、無人運用の足回りを固めた。
Claude Code v2.1.248's `--restricted` is a launch option that removes command execution and WebFetch and confines file operations to the working directory. It hands least privilege to other people's repositories and unattended runs. It also includes quiet fixes like preventing credential exfiltratio
Claude Code v2.1.248の`--restricted`は、コマンド実行やWebFetchを外し、ファイル操作を作業ディレクトリ内に限定する起動オプション。他人のリポジトリや無人運用に最小権限を差し出す。認証情報の持ち出し防止など地味な修正も。
Claude Code shipped v2.1.234 and 235 on two consecutive days. Together they bring a feature that waits out a usage-limit reset and continues automatically, closures for credential leak paths, and a fix to make approval screens match the permissions actually granted. A look at the groundwork for unat
Claude Code が2日続けて v2.1.234／235 を公開。使用上限のリセットを待って自動で続ける機能、認証情報の漏れ口の封鎖、そして「承認画面の表示と実際に許可される権限を一致させる」修正がまとまって載った。無人運用と権限まわりの地固めを追った。
Pillar Security's "Week of Sandbox Escapes" disclosed seven holes across Cursor, Codex, Gemini CLI, and Antigravity. In every case the sandbox itself was never broken — tools outside the box trusted and ran the files the agent wrote. Here's a developer-focused look at the four weakness patterns and
Pillar Securityの「Week of Sandbox Escapes」が、Cursor・Codex・Gemini CLI・Antigravityの7件の穴を公開。どれもサンドボックスは破らず、エージェントが書いたファイルを箱の外の道具が信じて実行する構図だった。4つの弱点パターンと、現場で打てる対策を開発者目線で整理する。