AntwortenVeröffentlicht20 Quellen
Heapjack und Overpatch: So konnten Angreifer aus der Codex-Sandbox ausbrechen
Heapjack und Overpatch konnten vorgesehene Codex Grenzen umgehen und aus einem nicht vertrauenswürdigen Repository heraus Aktionen auf dem Host ermöglichen. Heapjack betraf einen global konfigurierten node repl Helfer und einen geteilten V8 Heap; Overpatch nutzte Schreibrechte aus, die anhand von Pfaden in einem ang...
Veröffentlicht vonBearbeitet mit GPT-5.6 TerraBilder erstellt mit GPT Image 2
Forschungsantwort
Wichtige Erkenntnisse
- Heapjack und Overpatch konnten vorgesehene Codex Grenzen umgehen und aus einem nicht vertrauenswürdigen Repository heraus Aktionen auf dem Host ermöglichen.
- Heapjack betraf einen global konfigurierten node repl Helfer und einen geteilten V8 Heap; Overpatch nutzte Schreibrechte aus, die anhand von Pfaden in einem angreifergesteuerten Patch erweitert wurden.
- Ähnliche Vorfälle mit Git Konfigurationen im Jahr 2026 hatten einen anderen technischen Auslöser, aber dieselbe Schwäche: Ein nicht sandboxierter Orchestrierungspfad vertraute Eingaben aus dem Repository.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Accomplish AI researchers’ Heapjack and Overpatch vulnerabilities enable sandbox escapes and host-command execution in OpenAI’s Code. Article summary: Accomplish’s two findings bypassed Codex’s intended workspace/read-only boundaries by making a trusted enforcement component rely on attacker-influenced state. Both could turn an untrusted repository into host-level code. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Die Codex-Sandbox soll begrenzen, was ein KI-Programmieragent lesen, schreiben und ausführen darf. Die von Accomplish AI beschriebenen Lücken Heapjack und Overpatch zeigten jedoch, dass diese Grenze umgangen werden konnte: entweder weil ein vertrauenswürdiger Bestandteil ein Geheimnis mit nicht vertrauenswürdigem Code teilte oder weil er seine Berechtigungen aus angreifergesteuerten Eingaben ableitete. Beide Probleme wurden nach den Berichten behoben. 4
8
Heapjack: Das Autorisierungs-Token lag im gemeinsamen Heap
Heapjack betraf die node_repl-Integration, die Codex Desktop installiert hatte. Laut den Forschern schrieb die Desktop-App die MCP-Server-Konfiguration in die globale Datei ~/.codex/config.toml. Dadurch konnten auch CLI-Sitzungen, die diese gemeinsame Konfiguration nutzten, den Helfer erben. 8
9
Der eigentliche Bruch der Trennung lag in der JavaScript-Laufzeit des Helfers:
- Ein vertrauenswürdiger Kontext hielt ein Autorisierungs-Token pro Durchlauf.
- Ein nicht vertrauenswürdiger, vom Agenten gesteuerter Kontext lief im selben V8-Heap.
- Die nicht vertrauenswürdige Seite konnte das Token auslesen und damit Anfragen stellen, die der native Elternprozess als autorisiert behandelte.
8
15
Da dieser Elternprozess außerhalb der Sandbox arbeitete, waren dadurch Aktionen auf dem Host möglich – einschließlich der Ausführung von Befehlen. Das galt laut Bericht sogar dann, wenn Codex nominell im schreibgeschützten Modus lief. Das Kernproblem war nicht JavaScript an sich: Das Geheimnis zur Unterscheidung zwischen vertrauenswürdigen und nicht vertrauenswürdigen Anfragen lag in einem Speicherbereich, auf den die nicht vertrauenswürdige Seite zugreifen konnte. 8
15
Overpatch: Patch-Inhalte erweiterten die Berechtigung
Overpatch war ein Problem der Codex CLI im Werkzeug apply_patch bei aktiviertem Workspace-Schreibmodus. Eigentlich sollte das Tool Änderungen auf den Arbeitsbereich beschränken. Seine Autorisierungslogik gewährte aber Schreibzugriff anhand der übergeordneten Verzeichnisse, die im Patch selbst genannt wurden. 4
Damit wurden die Pfade im Patch zu sicherheitsrelevanten Eingaben. Accomplish beschrieb einen Proof of Concept, bei dem ein ansonsten wirkungsloser Pfad wie /tmp die Berechtigung bis zum Wurzelverzeichnis des Dateisystems ausweitete. Eine weitere Patch-Änderung folgte dann einem vom Repository kontrollierten symbolischen Link und veränderte eine Datei außerhalb des Workspace – darunter eine Shell-Startdatei im Home-Verzeichnis. 4
9
Die Folge trat zwar erst später ein, war aber gravierend: Code in einer Shell-Startdatei kann außerhalb der Agenten-Sandbox ausgeführt werden, wenn der Entwickler oder die Entwicklerin anschließend ein Terminal öffnet. Für diese Host-Aktion war keine reguläre Bestätigungsabfrage erforderlich. 4
7
Der gemeinsame Fehler: Eine privilegierte Komponente vertraute dem Falschen
Die technischen Wege von Heapjack und Overpatch unterschieden sich, doch das zugrunde liegende Entwurfsmuster war ähnlich: Der Mechanismus zur Durchsetzung der Sicherheitsgrenze vertraute Daten, die von der nicht vertrauenswürdigen Seite erreichbar oder kontrollierbar waren.
| Problem | Worauf wurde vertraut? | Warum scheiterte die Grenze? |
|---|---|---|
| Heapjack | Ein Autorisierungs-Token in einem gemeinsamen V8-Heap | Nicht vertrauenswürdiger Code konnte das Geheimnis wiederherstellen, das vertrauenswürdige Anfragen kennzeichnen sollte. |
| Overpatch | Pfade in einem agentengesteuerten Patch | Diese Pfade bestimmten den Umfang der Schreibrechte, statt lediglich die gewünschte Änderung zu beschreiben. |
Das entspricht einem Confused-Deputy-Problem: Ein höher privilegierter Helfer führt im Auftrag einer weniger vertrauenswürdigen Eingabe eine Aktion aus, ohne deren Befugnis oder das endgültige Ziel sicher zu prüfen. Es reicht daher nicht, nur die Shell des Agenten zu sandboxen, wenn Helfer, Tokens, Konfigurationen oder Orchestrierungs-Subprozesse weiterhin privilegiert sind oder durch Repository-Inhalte beeinflusst werden können.
Wie ähnliche Git-basierte Ausbrüche ins Bild passen
Andere 2026 veröffentlichte Sandbox-Ausbrüche bei Coding-Agenten funktionierten technisch anders, folgten aber einem ähnlichen Architekturfehler. Die Accomplish-Berichte zu Beltdown und Beltdown2 beschrieben Agenten-Shells innerhalb einer Sandbox, während interne Git-Befehle des umgebenden Harness außerhalb davon liefen. Über die Einstellung core.fsmonitor in der .git/config eines Repositorys konnte Git beim Prüfen des Arbeitsverzeichnisses einen konfigurierten Helfer starten. 17
18
Manifold Security fasste diese Klasse unter dem Namen GitSpawn zusammen: Eine vom Repository kontrollierte Git-Konfiguration konnte dazu führen, dass beim Untersuchen eines Projekts von Angreifern gewählter Code ausgeführt wird – möglicherweise noch vor einer aussagekräftigen Freigabe- oder Vertrauensentscheidung. 20
21
Die Lehre daraus ist nicht, dass jedes Repository in jedem Ablauf automatisch gefährlich ist. Repositorys müssen aber als potenziell aktive Eingabe behandelt werden, wenn Werkzeuge Metadaten auswerten, symbolischen Links folgen, Patches anwenden, Hooks verarbeiten oder Hilfsprozesse starten. Zur Vertrauensgrenze eines Agentenprodukts gehören all diese Wege – nicht nur das sichtbare Befehlswerkzeug.
Behobene Codex-Versionen
Als mindestens korrigierte Versionen wurden genannt:
- Codex Desktop Build 26.818.21641 oder neuer für Heapjack.
9
- Codex CLI Version 0.149.0 oder neuer für Overpatch.
4
Accomplish erklärte, beide Probleme am 12. August 2026 an OpenAI gemeldet zu haben; die Korrekturen seien innerhalb von acht Tagen bereitgestellt worden. 9
Was vor dem Öffnen eines unbekannten Repositorys zu tun ist
- Desktop-App und CLI aktualisieren. Die Schwachstellen betrafen unterschiedliche Komponenten. Zudem kann der von Codex Desktop global installierte Helfer CLI-Sitzungen über eine gemeinsame Konfiguration beeinflussen.
- Repository-Inhalte nicht nur als Quellcode betrachten. Symbolische Links, Patch-Pfade, Konfigurationsdateien, Hooks und Git-Metadaten können beeinflussen, was ein Agent oder sein Harness ausführt.
20
- Sensible Ressourcen vom Host fernhalten. Bei der Prüfung unbekannten Codes sollten keine langlebigen Zugangsdaten, SSH-Schlüssel, Cloud-Tokens, Docker-Sockets oder sensiblen Dateien aus dem Home-Verzeichnis verfügbar sein.
- Für wirklich nicht vertrauenswürdige Projekte extern isolieren. Eine temporäre VM oder eine vergleichbar starke Isolation schafft eine zusätzliche Grenze, falls Agent, Helfer oder Harness kompromittiert werden.
- Bei vollständig angelieferten Repositorys besonders vorsichtig sein. GitSpawn-ähnliche Risiken sind besonders relevant, wenn ein Projekt per Archiv, geteiltem Laufwerk, Synchronisationsordner oder Wechseldatenträger inklusive
.git-Metadaten ankommt. Ein gewöhnlicher Klon überträgt die lokale.git/configeines Remote-Repositorys normalerweise nicht.22
Die praktische Konsequenz: Die betroffenen Codex-Komponenten sollten aktualisiert werden. Auf eine Sandbox innerhalb desselben Prozesses sollte man sich aber nicht als alleinige Schutzschicht zwischen einem unbekannten Repository und dem Entwicklerrechner verlassen.
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „Heapjack und Overpatch: So konnten Angreifer aus der Codex-Sandbox ausbrechen“?
Heapjack und Overpatch konnten vorgesehene Codex Grenzen umgehen und aus einem nicht vertrauenswürdigen Repository heraus Aktionen auf dem Host ermöglichen.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Heapjack und Overpatch konnten vorgesehene Codex Grenzen umgehen und aus einem nicht vertrauenswürdigen Repository heraus Aktionen auf dem Host ermöglichen. Heapjack betraf einen global konfigurierten node repl Helfer und einen geteilten V8 Heap; Overpatch nutzte Schreibrechte aus, die anhand von Pfaden in einem angreifergesteuerten Patch erweitert wurden.
Was soll ich als nächstes in der Praxis tun?
Ähnliche Vorfälle mit Git Konfigurationen im Jahr 2026 hatten einen anderen technischen Auslöser, aber dieselbe Schwäche: Ein nicht sandboxierter Orchestrierungspfad vertraute Eingaben aus dem Repository.
Quellen