AnswersPublished20 sources
Heapjack a Overpatch: jak unikly ze sandboxu OpenAI Codex
Heapjack a Overpatch mohly obejít zamýšlené hranice Codexu a z nedůvěryhodného repozitáře vést k akcím na hostitelském systému. Heapjack zneužíval globálně nakonfigurovaný pomocný modul node repl a sdílenou haldu V8; Overpatch odvozoval oprávnění nástroje apply patch z cest ovládaných útočníkem a kombinoval je se sy...
PublikovalUpraveno pomocí GPT-5.6 TerraObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- Heapjack a Overpatch mohly obejít zamýšlené hranice Codexu a z nedůvěryhodného repozitáře vést k akcím na hostitelském systému.
- Heapjack zneužíval globálně nakonfigurovaný pomocný modul node repl a sdílenou haldu V8; Overpatch odvozoval oprávnění nástroje apply patch z cest ovládaných útočníkem a kombinoval je se symbolickým odkazem.
- Podobné úniky z roku 2026 přes konfiguraci Gitu měly jiný technický průběh, ale stejný architektonický problém: nesandboxovaná orchestrace respektovala vstup řízený repozitářem.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Accomplish AI researchers’ Heapjack and Overpatch vulnerabilities enable sandbox escapes and host-command execution in OpenAI’s Code. Article summary: Accomplish’s two findings bypassed Codex’s intended workspace/read-only boundaries by making a trusted enforcement component rely on attacker-influenced state. Both could turn an untrusted repository into host-level code. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Codex měl sandboxem omezovat, co může agent pro programování číst, zapisovat a spouštět. Zjištění společnosti Accomplish AI nazvaná Heapjack a Overpatch ale ukázala dvě cesty, jak tuto hranici obejít: důvěryhodná komponenta buď sdílela tajemství s nedůvěryhodným kódem, nebo odvozovala svá oprávnění ze vstupu kontrolovaného útočníkem. Obě chyby byly nahlášeny a opraveny. 4
8
Heapjack: autorizační tajemství ve sdílené haldě
Heapjack se týkal integrace node_repl, kterou instaloval Codex Desktop. Desktopová aplikace podle výzkumníků ukládala konfiguraci MCP serveru globálně do ~/.codex/config.toml. Pomocníka tak mohly zdědit i relace Codex CLI používající tuto sdílenou konfiguraci. 8
9
Selhání oddělení nastalo uvnitř JavaScriptového běhového prostředí pomocníka:
- důvěryhodný kontext držel autorizační token platný pro dané spuštění;
- nedůvěryhodný kontext, ovládaný agentem, běžel ve stejné haldě V8;
- nedůvěryhodná část mohla token získat a použít jej pro požadavky, které nativní rodičovský proces považoval za autorizované.
8
15
Protože rodičovský proces fungoval mimo sandbox, mohlo to vést k akcím na úrovni hostitelského systému, včetně spouštění příkazů, a to i v případě, že Codex byl formálně v režimu pouze pro čtení. Problémem nebyl samotný JavaScript, ale skutečnost, že přihlašovací údaj rozlišující důvěryhodnou a nedůvěryhodnou práci zůstával v paměti dostupné nedůvěryhodné části. 8
15
Overpatch: oprávnění rozšířená obsahem patche
Overpatch byl problém v Codex CLI, konkrétně v nástroji apply_patch v režimu zápisu do pracovního prostoru. Nástroj měl omezit změny na workspace, jeho autorizační logika však udělovala právo zápisu podle nadřazených adresářů uvedených přímo v patchi. 4
Cesty v patchi se tím staly bezpečnostně citlivým vstupem. Accomplish popsal důkaz konceptu, v němž jinak neúčinná cesta jako /tmp rozšířila oprávnění až na kořen souborového systému. Jiná změna v patchi pak přes symbolický odkaz řízený repozitářem upravila soubor mimo workspace — včetně inicializačního souboru shellu v domovském adresáři uživatele. 4
9
Důsledek se mohl projevit až později, byl však zásadní: kód vložený do inicializačního souboru shellu se spustil mimo sandbox agenta při dalším otevření terminálu vývojářem. Pro výslednou akci na hostitelském systému nebylo nutné standardní schvalovací okno. 4
7
Společný problém: privilegovaná komponenta důvěřovala nesprávné věci
Heapjack a Overpatch využívaly odlišné technické postupy, ale odhalily stejnou chybu návrhu: mechanismus vynucující pravidla důvěřoval datům dosažitelným z nedůvěryhodné strany hranice.
| Problém | Čemu se důvěřovalo | Proč hranice selhala |
|---|---|---|
| Heapjack | Autorizačnímu tokenu ve sdílené haldě V8 | Nedůvěryhodný kód dokázal získat tajemství, jímž se rozlišovaly důvěryhodné požadavky. |
| Overpatch | Cestám dodaným v patchi ovládaném agentem | Tyto cesty ovlivňovaly rozsah oprávnění k zápisu, namísto aby jen popisovaly zamýšlenou změnu. |
Jde o variantu problému confused deputy: komponenta s vyššími oprávněními provede operaci jménem vstupu s nižší úrovní důvěry, aniž by bezpečně ověřila oprávnění či skutečný cílový objekt. Samotné sandboxování shellu agenta proto nestačí, pokud pomocné procesy, tokeny, konfigurace nebo orchestrace zůstávají privilegované či jsou ovlivnitelné obsahem repozitáře.
Jak do stejného vzorce zapadají úniky přes Git
Další zjištění týkající se sandboxů programovacích agentů z roku 2026 byla technicky odlišná, architektonicky však podobná. Zprávy Accomplish o chybách Beltdown a Beltdown2 popisovaly prostředí, kde shell agenta běžel v sandboxu, avšak interní příkazy Gitu v okolní orchestraci už nikoli. Soubor .git/config v repozitáři mohl přes nastavení core.fsmonitor přimět Git ke spuštění zvoleného pomocného programu při kontrole pracovního stromu. 17
18
Manifold Security pro tuto širší třídu problémů použila označení GitSpawn: konfigurace Gitu řízená repozitářem mohla spustit kód vybraný útočníkem už ve chvíli, kdy agent projekt zkoumal, případně ještě před smysluplným rozhodnutím o důvěře nebo schválení. 20
21
Neznamená to, že každý repozitář je automaticky nebezpečný v každém pracovním postupu. Repozitář je však nutné chápat jako potenciálně aktivní vstup, když nástroje procházejí metadata, vyhodnocují symbolické odkazy, aplikují patche, spouštějí hooky nebo pomocné procesy. Hranice důvěry produktu s agentem zahrnuje všechny tyto cesty — nejen viditelný příkazový nástroj.
Opravené verze Codexu
Minimální uváděné opravené verze jsou:
- Codex Desktop build 26.818.21641 nebo novější pro Heapjack.
9
- Codex CLI 0.149.0 nebo novější pro Overpatch.
4
Accomplish uvedl, že obě chyby nahlásil OpenAI 12. srpna 2026 a opravy dorazily do osmi dnů. 9
Co udělat před otevřením nedůvěryhodného repozitáře
- Aktualizujte Desktop i CLI. Chyby zasáhly rozdílné komponenty a globálně nainstalovaný pomocník z Desktopu mohl ovlivnit relace CLI využívající sdílenou konfiguraci.
- Nevnímejte obsah repozitáře jen jako zdrojový kód. Chování agenta i jeho orchestrátoru mohou ovlivnit symbolické odkazy, cesty v patchích, konfigurační soubory, hooky a metadata Gitu.
20
- Nevystavujte prostředí citlivým prostředkům. Při prověřování neznámého kódu nemějte dostupné dlouhodobé přihlašovací údaje, SSH klíče, cloudové tokeny, sockety Dockeru ani citlivé soubory v domovském adresáři.
- Pro skutečně nedůvěryhodné projekty použijte externí izolaci. Jednorázový virtuální stroj nebo obdobně silně oddělené prostředí vytváří samostatnou hranici i v případě kompromitace agenta, pomocníka nebo orchestrátoru.
- Buďte opatrní u repozitářů předaných vcelku. Rizika typu GitSpawn se týkají zejména projektů doručených jako archiv, přes sdílený disk, synchronizační složku či vyměnitelné médium, kde se zachová metadata
.git; běžný klon vzdáleného repozitáře lokální.git/configobvykle nepřenáší.22
Praktický závěr je jednoduchý: nainstalujte opravy dotčených komponent Codexu, ale nespoléhejte na sandbox běžící uvnitř procesu jako na jedinou ochrannou bariéru mezi neznámým repozitářem a pracovním počítačem vývojáře.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Heapjack a Overpatch: jak unikly ze sandboxu OpenAI Codex"?
Heapjack a Overpatch mohly obejít zamýšlené hranice Codexu a z nedůvěryhodného repozitáře vést k akcím na hostitelském systému.
What are the key points to validate first?
Heapjack a Overpatch mohly obejít zamýšlené hranice Codexu a z nedůvěryhodného repozitáře vést k akcím na hostitelském systému. Heapjack zneužíval globálně nakonfigurovaný pomocný modul node repl a sdílenou haldu V8; Overpatch odvozoval oprávnění nástroje apply patch z cest ovládaných útočníkem a kombinoval je se symbolickým odkazem.
What should I do next in practice?
Podobné úniky z roku 2026 přes konfiguraci Gitu měly jiný technický průběh, ale stejný architektonický problém: nesandboxovaná orchestrace respektovala vstup řízený repozitářem.
Sources