RespuestasPublicado20 fuentes
Heapjack y Overpatch: así escaparon del sandbox de OpenAI Codex
Heapjack y Overpatch podían sortear los límites previstos de Codex y derivar en acciones a nivel del sistema anfitrión desde un repositorio no confiable; actualiza Codex Desktop a la compilación 26.818.21641 o posteri... Heapjack afectaba a un asistente node repl configurado globalmente y a una memoria V8 compartida...
Publicado porEditado con GPT-5.6 TerraImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- Heapjack y Overpatch podían sortear los límites previstos de Codex y derivar en acciones a nivel del sistema anfitrión desde un repositorio no confiable; actualiza Codex Desktop a la compilación 26.818.21641 o posteri...
- Heapjack afectaba a un asistente node repl configurado globalmente y a una memoria V8 compartida; Overpatch abusaba de permisos de apply patch calculados a partir de rutas controladas por el atacante.
- Otros escapes de agentes de programación en 2026 relacionados con configuraciones de Git compartían el mismo problema arquitectónico: una ruta de orquestación sin sandbox obedecía datos controlados por el repositorio.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Accomplish AI researchers’ Heapjack and Overpatch vulnerabilities enable sandbox escapes and host-command execution in OpenAI’s Code. Article summary: Accomplish’s two findings bypassed Codex’s intended workspace/read-only boundaries by making a trusted enforcement component rely on attacker-influenced state. Both could turn an untrusted repository into host-level code. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
El sandbox de Codex busca limitar qué puede leer, escribir y ejecutar un agente de programación basado en IA. Los hallazgos de Accomplish AI, llamados Heapjack y Overpatch, mostraron que esa frontera podía eludirse si un componente de confianza compartía un secreto con código no confiable o concedía privilegios a partir de datos controlados por el atacante. Ambos problemas fueron corregidos. 4
8
Heapjack: el secreto de autorización estaba en una memoria compartida
Heapjack afectaba a la integración node_repl instalada por Codex Desktop. Según los investigadores, la aplicación de escritorio guardaba su configuración de servidor MCP en el archivo global ~/.codex/config.toml; por ello, las sesiones de la CLI que utilizaran esa configuración compartida también podían heredar el asistente. 8
9
El fallo de separación estaba dentro del entorno de ejecución JavaScript del asistente:
- Un contexto de confianza conservaba un token de autorización por ejecución.
- Un contexto no confiable, controlado por el agente, se ejecutaba en la misma memoria dinámica de V8.
- El lado no confiable podía recuperar el token y usarlo en solicitudes que el proceso padre nativo consideraba autorizadas.
8
15
Como ese proceso padre operaba fuera del sandbox, el resultado podía incluir acciones sobre el sistema anfitrión, incluida la ejecución de comandos, incluso cuando Codex estaba nominalmente en modo de solo lectura. El problema no era simplemente ejecutar JavaScript: la credencial que diferenciaba el trabajo confiable del no confiable permanecía en una memoria a la que el segundo podía acceder. 8
15
Overpatch: permisos ampliados por el contenido del parche
Overpatch era un problema de Codex CLI en apply_patch, bajo el modo de escritura en el espacio de trabajo. La herramienta debía mantener las modificaciones dentro del proyecto, pero su lógica de autorización concedía alcance de escritura según los directorios padre indicados en el propio parche. 4
Esto convertía las rutas del parche en una entrada relevante para la seguridad. Accomplish describió una prueba de concepto en la que una ruta por lo demás ineficaz, como /tmp, hacía que el permiso se ampliara hasta la raíz del sistema de archivos. Otro cambio del parche seguía después un enlace simbólico controlado desde el repositorio para modificar un archivo fuera del espacio de trabajo, incluido un archivo de inicio de la shell en el directorio personal del usuario. 4
9
La consecuencia podía aparecer más tarde, pero era importante: el código añadido a un archivo de inicio de la shell podía ejecutarse fuera del sandbox del agente cuando el desarrollador abriera posteriormente una terminal. La acción resultante en el sistema anfitrión no requería la solicitud de aprobación habitual. 4
7
El fallo común: un componente privilegiado confió en lo equivocado
Heapjack y Overpatch seguían rutas técnicas distintas, pero exponen el mismo problema de diseño: el mecanismo encargado de imponer el límite de seguridad confiaba en datos alcanzables desde el lado no confiable de esa frontera.
| Problema | Qué se consideró confiable | Por qué falló la frontera |
|---|---|---|
| Heapjack | Un token de autorización en una memoria V8 compartida | El código no confiable podía recuperar el secreto utilizado para distinguir las solicitudes autorizadas. |
| Overpatch | Rutas proporcionadas en un parche controlado por el agente | Esas rutas influían en el alcance de los permisos de escritura, en lugar de limitarse a describir la modificación pretendida. |
Se trata de un problema de delegación confusa (confused deputy): un asistente o proceso con más privilegios actúa en nombre de una entrada de menor confianza sin validar de forma segura su autorización o el destino final. Por tanto, aislar únicamente la shell del agente no basta si los asistentes, tokens, configuraciones y subprocesos de orquestación mantienen privilegios o pueden verse influidos por el contenido del repositorio.
Cómo encajan los escapes basados en Git
Otros hallazgos de 2026 sobre sandboxes de agentes de programación eran técnicamente diferentes, pero arquitectónicamente similares. Los informes Beltdown y Beltdown2 de Accomplish describieron shells de agentes aisladas mientras comandos internos de Git, ejecutados por el entorno de orquestación, quedaban fuera del sandbox. La configuración .git/config de un repositorio podía emplear el ajuste core.fsmonitor para hacer que Git ejecutara un asistente configurado al inspeccionar el árbol de trabajo. 17
18
Manifold Security agrupó esta clase de problemas bajo el nombre GitSpawn: una configuración de Git controlada por el repositorio podía provocar la ejecución de código elegido por un atacante cuando el agente inspeccionaba un proyecto, potencialmente antes de una decisión de confianza o aprobación significativa. 20
21
La lección no es que todo repositorio sea automáticamente peligroso en cualquier flujo de trabajo. Es que los repositorios deben tratarse como una entrada potencialmente activa cuando las herramientas inspeccionan metadatos, resuelven enlaces simbólicos, aplican parches, ejecutan hooks o lanzan procesos auxiliares. La frontera de confianza de un producto de agentes incluye todos esos caminos, no solo la herramienta visible para ejecutar comandos.
Versiones de Codex corregidas
Las versiones mínimas informadas con las correcciones son:
- Codex Desktop, compilación 26.818.21641 o posterior, para Heapjack.
9
- Codex CLI, versión 0.149.0 o posterior, para Overpatch.
4
Accomplish indicó que notificó ambos problemas a OpenAI el 12 de agosto de 2026 y que las correcciones llegaron en un plazo de ocho días. 9
Qué hacer antes de abrir un repositorio no confiable
- Actualiza tanto la aplicación Desktop como la CLI. Los dos problemas afectaban a componentes diferentes, y el asistente global instalado por Desktop podía afectar a sesiones de CLI que emplearan la configuración compartida.
- Considera que un repositorio contiene algo más que código fuente. Los enlaces simbólicos, las rutas de parches, archivos de configuración, hooks y metadatos de Git pueden cambiar el comportamiento del agente o de su entorno de orquestación.
20
- Mantén los recursos sensibles fuera del entorno. No expongas credenciales de larga duración, claves SSH, tokens de nube, sockets de Docker ni archivos confidenciales del directorio personal al evaluar código desconocido.
- Usa aislamiento externo para proyectos realmente no confiables. Una máquina virtual desechable o un entorno con una separación equivalente ofrece una frontera independiente si se compromete el agente, un asistente o el entorno de orquestación.
- Extrema la cautela con repositorios recibidos intactos. Los riesgos de estilo GitSpawn son especialmente relevantes si el proyecto llega en un archivo comprimido, una unidad compartida, una carpeta sincronizada o un medio extraíble que conserve los metadatos
.git; una clonación normal no suele transferir el archivo local.git/configde un repositorio remoto.22
La conclusión práctica es clara: instala las versiones corregidas de Codex, pero no trates un sandbox dentro del proceso como la única barrera entre un repositorio desconocido y la estación de trabajo del desarrollador.
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "Heapjack y Overpatch: así escaparon del sandbox de OpenAI Codex"?
Heapjack y Overpatch podían sortear los límites previstos de Codex y derivar en acciones a nivel del sistema anfitrión desde un repositorio no confiable; actualiza Codex Desktop a la compilación 26.818.21641 o posteri...
¿Cuáles son los puntos clave a validar primero?
Heapjack y Overpatch podían sortear los límites previstos de Codex y derivar en acciones a nivel del sistema anfitrión desde un repositorio no confiable; actualiza Codex Desktop a la compilación 26.818.21641 o posteri... Heapjack afectaba a un asistente node repl configurado globalmente y a una memoria V8 compartida; Overpatch abusaba de permisos de apply patch calculados a partir de rutas controladas por el atacante.
¿Qué debo hacer a continuación en la práctica?
Otros escapes de agentes de programación en 2026 relacionados con configuraciones de Git compartían el mismo problema arquitectónico: una ruta de orquestación sin sandbox obedecía datos controlados por el repositorio.
Fuentes