Docker Sandboxes の sbx cp はシンボリックリンクをたどる（CVE-2026-103916）：0.51.0 以降へ
AI コーディングエージェント用の Docker Sandboxes で、エージェントが作業フォルダーにリンクを置き、利用者がホスト側で sbx cp を実行すると、許可範囲外のホストのファイルを利用者の権限で読み書きされる。0.28.0 以上 0.51.0 未満が対象。
いつ使うか
- Docker Sandboxes（
sbx）でエージェントを隔離して動かしている - エージェントの作業結果をホストへコピーして取り出す運用をしている
仕組み（防御側が知るべき点）
- 隔離が効いている共有フォルダーとは別の経路でファイルを転送するため、許可リストの確認が通らない。
- ホスト→サンドボックスのコピーでは、パスの途中にあるリンクを既定でたどる（
-Lが効くのは最後の要素だけ）。サンドボックス→ホストのコピーでは、書き出し先の途中も最後もたどる。 - 想定される流れは、プロンプトインジェクションを受けたエージェントがリンクを作り、利用者が普段どおりコピーするだけ。クラウド認証情報や SSH 鍵の読み取りが危ない。
- Docker は 10 月 13 日の 0.48.0 で一度直したが不完全で、0.51.0 で修正し直した。
対策
sbxを 0.51.0 以降に上げる。0.48.0 で止まっていないか確認する。- 更新できるまでは、エージェントが書き込める場所からホストへのコピーをしない。取り出すなら、コピー前にサンドボックス内で
find <dir> -type lなどでリンクがないか確かめる。 - 取り出し先はホームではなく専用の空ディレクトリーにする。
- サンドボックスを使っていても、ホストの
~/.awsや~/.sshを常に置いておかない（読まれる前提で減らす）。