AnswersPublished20 sources
Näin Heapjack ja Overpatch ohittivat OpenAI Codexin hiekkalaatikon
Heapjack ja Overpatch saattoivat ohittaa Codexin tarkoitetut rajat ja johtaa isäntäkoneen tason toimintoihin epäluotettavasta repositoriosta. Heapjack kohdistui globaalisti määritettyyn node repl apuriin ja jaettuun V8 keap muistiin.
JulkaisijaMuokattu mallilla GPT-5.6 TerraKuvat luotu mallilla GPT Image 2
Research answer
Key takeaways
- Heapjack ja Overpatch saattoivat ohittaa Codexin tarkoitetut rajat ja johtaa isäntäkoneen tason toimintoihin epäluotettavasta repositoriosta.
- Heapjack kohdistui globaalisti määritettyyn node repl apuriin ja jaettuun V8 keap muistiin.
- Myös vuoden 2026 Git pohjaiset agenttipaot perustuivat samankaltaiseen arkkitehtuurivirheeseen: hiekkalaatikon ulkopuolinen orkestrointipolku kunnioitti repositorion hallitsemaa syötettä.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Accomplish AI researchers’ Heapjack and Overpatch vulnerabilities enable sandbox escapes and host-command execution in OpenAI’s Code. Article summary: Accomplish’s two findings bypassed Codex’s intended workspace/read-only boundaries by making a trusted enforcement component rely on attacker-influenced state. Both could turn an untrusted repository into host-level code. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Codexin hiekkalaatikon tarkoitus oli rajata, mitä AI-koodausagentti voi lukea, kirjoittaa ja suorittaa. Accomplish AI:n Heapjack- ja Overpatch-löydökset osoittivat, että raja voitiin silti ohittaa, jos luotettu komponentti joko jakoi salaisuuden epäluotetun koodin kanssa tai johti oikeutensa hyökkääjän hallitsemasta syötteestä. Molemmat ongelmat on ilmoitettu korjatuiksi. 4
8
Heapjack: valtuutussalaisuus samassa keap-muistissa
Heapjack koski Codex Desktopin asentamaa node_repl-integraatiota. Tutkijoiden mukaan Desktop-sovellus tallensi MCP-palvelimen asetuksen globaaliin tiedostoon ~/.codex/config.toml. Siksi myös komentorivillä käytetyt Codex-istunnot saattoivat periä apuohjelman samasta asetuksesta. 8
9
Ratkaiseva erottelun pettäminen tapahtui apuohjelman JavaScript-ajoympäristössä:
- luotettu konteksti säilytti ajokohtaista valtuutustunnistetta
- epäluotettu, agentin ohjaama konteksti suoritettiin samassa V8-keap-muistissa
- epäluotettu puoli pystyi palauttamaan tunnisteen ja käyttämään sitä pyyntöihin, jotka natiivi emoprosessi hyväksyi valtuutetuiksi.
8
15
Koska emoprosessi toimi hiekkalaatikon ulkopuolella, seurauksena saattoi olla isäntäkoneen tason toimintoja, kuten komentojen suoritus. Tämä oli mahdollista silloinkin, kun Codex oli nimellisesti vain luku -tilassa. Ongelma ei siis ollut pelkkä JavaScriptin suorittaminen, vaan se, että luotetun ja epäluotetun työn erottava tunniste oli epäluotetun puolen saavutettavissa muistissa. 8
15
Overpatch: patchin sisältö laajensi oikeuksia
Overpatch oli Codex CLI:n apply_patch-työkalussa workspace-write-tilassa. Työkalun piti rajoittaa muokkaukset työtilaan, mutta sen valtuutuslogiikka myönsi kirjoitusoikeuden patchissa mainittujen polkujen yläkansioiden perusteella. 4
Tämä teki patchin poluista tietoturvakriittistä syötettä. Accomplish kuvasi konseptitodistuksen, jossa muuten hyödytön polku, kuten /tmp, laajensi kirjoitusoikeuden tiedostojärjestelmän juureen asti. Erillinen patch-muutos seurasi sitten repositorion hallitsemaa symbolista linkkiä ja muokkasi työtilan ulkopuolista tiedostoa, esimerkiksi käyttäjän kotihakemistossa olevaa komentotulkin käynnistystiedostoa. 4
9
Vaikutus saattoi ilmetä viiveellä mutta olla merkittävä: komentotulkin käynnistystiedostoon sijoitettu koodi suorittuisi hiekkalaatikon ulkopuolella, kun kehittäjä myöhemmin avaisi päätteen. Tästä seuraava isäntäkoneen toiminto ei edellyttänyt tavallista hyväksyntäkehotetta. 4
7
Yhteinen ongelma: etuoikeutettu komponentti luotti väärään asiaan
Heapjack ja Overpatch käyttivät eri teknisiä reittejä, mutta paljastivat saman suunnitteluvirheen: rajoituksia valvova mekanismi luotti tietoon, johon epäluotettu puoli pääsi käsiksi tai jota se pystyi ohjaamaan.
| Ongelma | Mihin luotettiin | Miksi raja petti |
|---|---|---|
| Heapjack | Valtuutustunnisteeseen jaetussa V8-keap-muistissa | Epäluotettu koodi pystyi palauttamaan salaisuuden, jolla luotetut pyynnöt erotettiin muista. |
| Overpatch | Agentin hallitseman patchin ilmoittamiin polkuihin | Polut vaikuttivat kirjoitusoikeuksien laajuuteen sen sijaan, että ne olisivat vain kuvanneet aiottua muokkausta. |
Kyse on niin sanotusta confused deputy -ongelmasta: korkeamman oikeustason apuohjelma tekee toimenpiteen alemman luottamustason syötteen puolesta varmistamatta turvallisesti valtuutusta tai lopullista kohdetta. Pelkkä agentin komentotulkin eristäminen ei siis riitä, jos apuohjelmat, tunnisteet, asetukset ja orkestrointialiprosessit ovat etuoikeutettuja tai repositorion sisällön vaikutuspiirissä.
Miten Git-pohjaiset agenttipaot liittyvät tähän
Muut vuoden 2026 koodausagenttien hiekkalaatikkolöydökset olivat teknisesti erilaisia, mutta arkkitehtuuriltaan samankaltaisia. Accomplishin Beltdown- ja Beltdown2-raporttien mukaan agentin komentotulkki oli eristetty, mutta sitä ympäröivän ohjausjärjestelmän sisäiset Git-komennot ajettiin hiekkalaatikon ulkopuolella. Repositorion .git/config pystyi Gitin core.fsmonitor-asetuksen avulla määrittämään apuohjelman, jonka Git suoritti tarkistaessaan työpuuta. 17
18
Manifold Security kuvasi tätä laajempaa haavoittuvuusluokkaa nimellä GitSpawn: repositorion hallitsema Git-asetus voi saada agentin suorittamaan hyökkääjän valitsemaa koodia projektia tarkasteltaessa, mahdollisesti ennen merkityksellistä hyväksyntä- tai luottamuspäätöstä. 20
21
Johtopäätös ei ole, että jokainen repositorio olisi automaattisesti vaarallinen kaikissa työnkuluissa. Repositoriota on kuitenkin käsiteltävä mahdollisesti aktiivisena syötteenä, kun työkalu tutkii metatietoja, ratkaisee symbolisia linkkejä, soveltaa patcheja, käyttää hookeja tai käynnistää apuprosesseja. Agenttituotteen luottamusraja kattaa kaikki nämä polut, ei vain näkyvän komentotyökalun.
Korjatut Codex-versiot
Raportoidut vähimmäisversiot, joissa ongelmat on korjattu, ovat:
- Codex Desktop build 26.818.21641 tai uudempi Heapjackia varten.
9
- Codex CLI 0.149.0 tai uudempi Overpatchia varten.
4
Accomplishin mukaan molemmat ongelmat raportoitiin OpenAI:lle 12. elokuuta 2026, ja korjaukset saatiin kahdeksan päivän sisällä. 9
Toimi näin ennen epäluotettavan repositorion avaamista
- Päivitä sekä Desktop-sovellus että CLI. Haavoittuvuudet koskivat eri komponentteja, ja Desktopin asentama globaali apuohjelma saattoi vaikuttaa CLI-istuntoihin, jotka käyttivät yhteistä asetusta.
- Käsittele repositorion sisältöä muuna kuin lähdekoodina. Symboliset linkit, patch-polut, asetustiedostot, hookit ja Git-metatiedot voivat vaikuttaa agentin tai sitä ohjaavan järjestelmän toimintaan.
20
- Älä altista arkaluonteisia isäntäresursseja ympäristölle. Älä pidä tuntematonta koodia arvioitaessa saatavilla pitkäikäisiä tunnuksia, SSH-avaimia, pilvipalvelutunnisteita, Docker-soketteja tai arkaluonteisia kotihakemiston tiedostoja.
- Käytä oikeasti epäluotettaville projekteille ulkoista eristystä. Kertakäyttöinen virtuaalikone tai vastaavan vahva erillinen ympäristö luo uuden rajan, jos agentti, apuohjelma tai ohjausjärjestelmä vaarantuu.
- Ole erityisen varovainen kokonaisina toimitettujen repositorioiden kanssa. GitSpawn-tyyppiset riskit korostuvat, jos projekti tulee arkistona, jaettuna kansiona, synkronointikansion kautta tai siirrettävällä medialla siten, että
.git-metatiedot säilyvät. Tavallinen kloonaus ei normaalisti siirrä etärepositorion paikallista.git/config-tiedostoa.22
Käytännön johtopäätös on yksinkertainen: päivitä haavoittuneet Codex-komponentit, mutta älä pidä prosessin sisäistä hiekkalaatikkoa ainoana suojana tuntemattoman repositorion ja kehitystyöaseman välillä.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Näin Heapjack ja Overpatch ohittivat OpenAI Codexin hiekkalaatikon"?
Heapjack ja Overpatch saattoivat ohittaa Codexin tarkoitetut rajat ja johtaa isäntäkoneen tason toimintoihin epäluotettavasta repositoriosta.
What are the key points to validate first?
Heapjack ja Overpatch saattoivat ohittaa Codexin tarkoitetut rajat ja johtaa isäntäkoneen tason toimintoihin epäluotettavasta repositoriosta. Heapjack kohdistui globaalisti määritettyyn node repl apuriin ja jaettuun V8 keap muistiin.
What should I do next in practice?
Myös vuoden 2026 Git pohjaiset agenttipaot perustuivat samankaltaiseen arkkitehtuurivirheeseen: hiekkalaatikon ulkopuolinen orkestrointipolku kunnioitti repositorion hallitsemaa syötettä.
Sources