AnswersPublished20 sources
Heapjack ו-Overpatch: כך נפרצה סביבת הבידוד של OpenAI Codex
Heapjack ו Overpatch יכלו לעקוף את גבולות הבידוד המתוכננים של Codex ולהוביל לפעולות ברמת המחשב המארח מתוך מאגר לא מהימן. Heapjack ניצלה עוזר node repl שהוגדר גלובלית ואת מרחב הזיכרון המשותף של V8; Overpatch ניצלה הרשאות apply patch שנקבעו לפי נתיבים שנשלטו בידי התוקף, יחד עם קישורים סמליים.
פורסם על ידינערך באמצעות GPT-5.6 Terraהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- Heapjack ו Overpatch יכלו לעקוף את גבולות הבידוד המתוכננים של Codex ולהוביל לפעולות ברמת המחשב המארח מתוך מאגר לא מהימן.
- Heapjack ניצלה עוזר node repl שהוגדר גלובלית ואת מרחב הזיכרון המשותף של V8; Overpatch ניצלה הרשאות apply patch שנקבעו לפי נתיבים שנשלטו בידי התוקף, יחד עם קישורים סמליים.
- מקרי בריחה אחרים של סוכני קוד ב 2026, הקשורים להגדרות Git, פעלו אחרת אך חשפו אותה חולשה ארכיטקטונית: רכיב תזמור מחוץ ל sandbox נתן אמון בקלט שנשלט בידי המאגר.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Accomplish AI researchers’ Heapjack and Overpatch vulnerabilities enable sandbox escapes and host-command execution in OpenAI’s Code. Article summary: Accomplish’s two findings bypassed Codex’s intended workspace/read-only boundaries by making a trusted enforcement component rely on attacker-influenced state. Both could turn an untrusted repository into host-level code. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
סביבת הבידוד של Codex נועדה להגביל את מה שסוכן קוד מבוסס AI יכול לקרוא, לכתוב ולהריץ. הממצאים של Accomplish AI, שכונו Heapjack ו-Overpatch, הראו שאפשר לעקוף את ההגנה כאשר רכיב מהימן משתף סוד עם קוד לא מהימן — או מרחיב הרשאות לפי קלט שנשלט בידי תוקף. שתי הבעיות דווחו ותוקנו. 4
8
Heapjack: סוד הרשאה במרחב זיכרון משותף
Heapjack פגעה באינטגרציית node_repl שהותקנה על ידי Codex Desktop. לפי החוקרים, אפליקציית הדסקטופ שמרה את הגדרת שרת ה-MCP שלה בקובץ הגלובלי ~/.codex/config.toml; לכן גם הפעלות CLI שהשתמשו בהגדרה המשותפת יכלו לרשת את העוזר. 8
9
כשל ההפרדה המרכזי היה בזמן הריצה של JavaScript:
- הקשר מהימן שמר אסימון הרשאה ייחודי לכל הרצה.
- הקשר לא מהימן, שנשלט בידי הסוכן, רץ באותו heap של מנוע V8.
- הצד הלא מהימן יכול היה לשחזר את האסימון ולהשתמש בו בבקשות שהתהליך ההורי המקומי קיבל כמורשות.
8
15
התהליך ההורי פעל מחוץ ל-sandbox. לכן התוצאה יכלה להיות פעולות על המחשב המארח, לרבות הרצת פקודות, גם כש-Codex הוגדר לכאורה למצב קריאה בלבד. הבעיה לא הייתה עצם הרצת JavaScript, אלא העובדה שהאישור שמבדיל בין פעולה מהימנה ללא מהימנה נשמר בזיכרון שהיה נגיש לצד הלא מהימן. 8
15
Overpatch: הרשאות שהתרחבו לפי תוכן ה-patch
Overpatch הייתה בעיית Codex CLI בכלי apply_patch במצב כתיבה למרחב העבודה. הכלי אמור היה להגביל שינויים לתיקיית הפרויקט, אך לוגיקת ההרשאה שלו העניקה תחום כתיבה לפי תיקיות האב של הנתיבים שהופיעו ב-patch עצמו. 4
בפועל, נתיבי הקבצים ב-patch הפכו לקלט רגיש מבחינה אבטחתית. Accomplish תיארה הוכחת היתכנות שבה נתיב חסר תועלת כשלעצמו, כגון /tmp, גרם להרחבת ההרשאה אל שורש מערכת הקבצים. שינוי נוסף ב-patch עקב אחר קישור סמלי שנשלט במאגר, וכך שינה קובץ מחוץ לתיקיית העבודה — לרבות קובץ אתחול של מעטפת ב-home של המשתמש. 4
9
ההשפעה הייתה מושהית, אך משמעותית: קוד שהוזרק לקובץ אתחול של מעטפת עשוי לרוץ מחוץ ל-sandbox בפעם הבאה שהמפתח פותח טרמינל. פעולת המארח שנבעה מכך לא דרשה את בקשת האישור הרגילה. 4
7
המכנה המשותף: רכיב מורשה נתן אמון בדבר הלא נכון
Heapjack ו-Overpatch השתמשו במסלולים טכניים שונים, אך חשפו אותה בעיית תכנון: מנגנון האכיפה נתן אמון בנתון שהיה נגיש מהצד הלא מהימן של הגבול.
| חולשה | במה ניתן אמון | מדוע הגבול נכשל |
|---|---|---|
| Heapjack | אסימון הרשאה ב-heap משותף של V8 | קוד לא מהימן יכול היה לשחזר את הסוד ששימש להבחנה בין בקשות מורשות ללא מורשות. |
| Overpatch | נתיבים שסופקו ב-patch בשליטת הסוכן | הנתיבים השפיעו על היקף הרשאות הכתיבה, במקום לתאר רק את העריכה המבוקשת. |
זהו מקרה של סגן מבולבל (confused deputy): עוזר או מעטפת בעלי הרשאות גבוהות מבצעים פעולה בשם קלט בעל רמת אמון נמוכה, בלי לאמת כראוי את ההרשאה או את יעד הפעולה הסופי. לכן, בידוד של מעטפת הפקודות של הסוכן לבדו אינו מספיק, אם עוזרים, אסימונים, הגדרות ותהליכי תזמור נשארים מורשים או מושפעים מתוכן המאגר.
איך בריחות מבוססות Git משתלבות בתמונה
ממצאי אבטחה אחרים מ-2026 עבור סוכני קוד היו שונים מבחינה טכנית, אך דומים בארכיטקטורה. הדיווחים Beltdown ו-Beltdown2 של Accomplish תיארו מעטפת סוכן שהייתה מבודדת, בזמן שפקודות Git פנימיות של מעטפת התזמור פעלו מחוץ ל-sandbox. קובץ .git/config של מאגר יכול להשתמש בהגדרת core.fsmonitor של Git, כך ש-Git יריץ עוזר מוגדר בעת בדיקת עץ העבודה. 17
18
Manifold Security כינתה את משפחת הבעיות הרחבה הזו GitSpawn: תצורת Git הנשלטת בידי המאגר עשויה לגרום להרצת קוד שנבחר בידי תוקף כאשר סוכן בוחן פרויקט, לעיתים עוד לפני אישור או החלטת אמון משמעותיים. 20
21
המסקנה אינה שכל מאגר מסוכן אוטומטית בכל תרחיש. היא שמאגרים חייבים להיחשב לקלט שעשוי להיות פעיל כאשר כלים בודקים מטא-נתונים, פותרים קישורים סמליים, מחילים patches, מריצים hooks או מפעילים תהליכי עזר. גבול האמון של מוצר סוכן כולל את כל המסלולים האלה — ולא רק את כלי הפקודות הגלוי לעין.
גרסאות Codex שבהן תוקנו הבעיות
אלה גרסאות המינימום המדווחות שבהן התיקונים זמינים:
- Codex Desktop build 26.818.21641 ומעלה עבור Heapjack.
9
- Codex CLI גרסה 0.149.0 ומעלה עבור Overpatch.
4
Accomplish מסרה כי דיווחה ל-OpenAI על שתי הבעיות ב-12 באוגוסט 2026, וכי התיקונים הגיעו בתוך שמונה ימים. 9
מה לעשות לפני שפותחים מאגר לא מהימן
- לעדכן גם את אפליקציית Desktop וגם את ה-CLI. מדובר ברכיבים שונים, והעוזר הגלובלי שמותקן על ידי Desktop עשוי להשפיע על הפעלות CLI המשתמשות בתצורה המשותפת.
- להתייחס לתוכן המאגר כאל יותר מקוד מקור. קישורים סמליים, נתיבים ב-patch, קובצי תצורה, hooks ומטא-נתונים של Git עשויים להשפיע על פעולות הסוכן או מעטפת התזמור.
20
- לא לחשוף למאגר לא מוכר משאבי מארח רגישים. אין לאפשר גישה לאישורים ארוכי טווח, מפתחות SSH, אסימוני ענן, שקעי Docker או קבצים רגישים בתיקיית הבית בעת בדיקת קוד לא ידוע.
- להשתמש בבידוד חיצוני לפרויקטים שאינם מהימנים באמת. מכונה וירטואלית חד-פעמית, או סביבה מבודדת חזקה אחרת, מספקת גבול נפרד גם אם הסוכן, העוזר או מעטפת התזמור נפרצו.
- לנהוג בזהירות במאגרים שמגיעים כקבצים שלמים. סיכוני GitSpawn רלוונטיים במיוחד כשפרויקט מגיע בארכיון, דרך תיקייה משותפת, תיקיית סנכרון או התקן נשלף שמשמרים את מטא-הנתונים
.git; שכפול Git רגיל בדרך כלל אינו מעביר את קובץ.git/configהמקומי של המאגר המרוחק.22
השורה התחתונה פשוטה: יש להתקין את התיקונים לרכיבי Codex שנפגעו, אך לא להסתמך על sandbox בתוך התהליך כשכבת ההגנה היחידה בין מאגר לא מוכר לבין תחנת העבודה של המפתח.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Heapjack ו-Overpatch: כך נפרצה סביבת הבידוד של OpenAI Codex"?
Heapjack ו Overpatch יכלו לעקוף את גבולות הבידוד המתוכננים של Codex ולהוביל לפעולות ברמת המחשב המארח מתוך מאגר לא מהימן.
What are the key points to validate first?
Heapjack ו Overpatch יכלו לעקוף את גבולות הבידוד המתוכננים של Codex ולהוביל לפעולות ברמת המחשב המארח מתוך מאגר לא מהימן. Heapjack ניצלה עוזר node repl שהוגדר גלובלית ואת מרחב הזיכרון המשותף של V8; Overpatch ניצלה הרשאות apply patch שנקבעו לפי נתיבים שנשלטו בידי התוקף, יחד עם קישורים סמליים.
What should I do next in practice?
מקרי בריחה אחרים של סוכני קוד ב 2026, הקשורים להגדרות Git, פעלו אחרת אך חשפו אותה חולשה ארכיטקטונית: רכיב תזמור מחוץ ל sandbox נתן אמון בקלט שנשלט בידי המאגר.
Sources