उत्तरप्रकाशित20 स्रोत
Heapjack और Overpatch: OpenAI Codex सैंडबॉक्स से बाहर निकलने के दो रास्ते
Heapjack और Overpatch से अनविश्वसनीय रिपॉजिटरी की मदद से Codex की तय सीमा पार कर होस्ट सिस्टम पर कार्रवाई संभव हो सकती थी। Heapjack के लिए Codex Desktop build 26.818.21641 या नया, और Overpatch के लिए Codex CLI 0.149.0... Heapjack में वैश्विक रूप से कॉन्फ़िगर node repl हेल्पर के साझा V8 heap से प्राधिकरण टोकन निकाला...
प्रकाशितकर्ताGPT-5.6 Terra से संपादितGPT Image 2 से चित्र बनाए गए
शोध उत्तर
मुख्य निष्कर्ष
- Heapjack और Overpatch से अनविश्वसनीय रिपॉजिटरी की मदद से Codex की तय सीमा पार कर होस्ट सिस्टम पर कार्रवाई संभव हो सकती थी। Heapjack के लिए Codex Desktop build 26.818.21641 या नया, और Overpatch के लिए Codex CLI 0.149.0...
- Heapjack में वैश्विक रूप से कॉन्फ़िगर node repl हेल्पर के साझा V8 heap से प्राधिकरण टोकन निकाला जा सकता था; Overpatch में हमलावर नियंत्रित patch paths के आधार पर apply patch की write permissions बढ़ सकती थीं।
- 2026 के Git कॉन्फ़िगरेशन आधारित अन्य agent escapes का तरीका अलग था, लेकिन मूल वास्तु दोष वही था: सैंडबॉक्स के बाहर के विशेषाधिकार युक्त orchestration path ने रिपॉजिटरी नियंत्रित इनपुट पर भरोसा किया।
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Accomplish AI researchers’ Heapjack and Overpatch vulnerabilities enable sandbox escapes and host-command execution in OpenAI’s Code. Article summary: Accomplish’s two findings bypassed Codex’s intended workspace/read-only boundaries by making a trusted enforcement component rely on attacker-influenced state. Both could turn an untrusted repository into host-level code. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Codex का सैंडबॉक्स इस उद्देश्य से बनाया गया था कि AI कोडिंग एजेंट किन फ़ाइलों को पढ़, लिख और चला सकता है, उस पर सीमा रहे। Accomplish AI की Heapjack और Overpatch खोजों ने दिखाया कि जब कोई भरोसेमंद घटक अनविश्वसनीय कोड के साथ कोई गुप्त जानकारी साझा करे, या हमलावर के नियंत्रित इनपुट से अपने विशेषाधिकार तय करे, तब यह सीमा बायपास हो सकती है। दोनों खामियाँ अब पैच हो चुकी हैं। 4
8
Heapjack: साझा heap में रखा प्राधिकरण-रहस्य
Heapjack का असर Codex Desktop द्वारा इंस्टॉल किए गए node_repl इंटीग्रेशन पर था। शोधकर्ताओं के अनुसार, Desktop ऐप MCP सर्वर का कॉन्फ़िगरेशन वैश्विक ~/.codex/config.toml में रखता था। इसलिए उसी साझा कॉन्फ़िगरेशन का उपयोग करने वाले CLI सत्रों को भी यह हेल्पर मिल सकता था। 8
9
असली अलगाव-विफलता हेल्पर के JavaScript runtime में थी:
- भरोसेमंद context में हर run के लिए एक authorization token रखा जाता था।
- एजेंट-नियंत्रित, अनविश्वसनीय context उसी V8 heap में चलता था।
- अनविश्वसनीय हिस्से के लिए token निकालना और उसे ऐसे अनुरोधों में इस्तेमाल करना संभव था जिन्हें native parent process अधिकृत मानता था।
8
15
यह parent process सैंडबॉक्स के बाहर चलता था। नतीजतन, Codex के नाममात्र read-only mode में होने पर भी होस्ट स्तर की कार्रवाई—जिसमें command execution शामिल है—संभव हो सकती थी। समस्या केवल JavaScript चलने की नहीं थी; trusted और untrusted काम में फर्क करने वाला credential उसी memory में था, जहाँ तक अनविश्वसनीय हिस्से की पहुँच थी। 8
15
Overpatch: patch के content से बढ़ते अधिकार
Overpatch, workspace-write mode में Codex CLI के apply_patch टूल की खामी थी। इस टूल को edits को workspace तक सीमित रखना था, लेकिन उसका authorization logic patch में बताए गए parent directories के आधार पर write scope देता था। 4
यही वजह थी कि patch के paths सुरक्षा-संवेदनशील इनपुट बन गए। Accomplish के proof of concept में /tmp जैसा एक ऐसा path, जिससे कोई उपयोगी बदलाव भी नहीं होता, permission को filesystem root तक बढ़ा सकता था। फिर patch का दूसरा बदलाव repository-नियंत्रित symlink का इस्तेमाल कर workspace के बाहर की फ़ाइल बदल सकता था—मसलन उपयोगकर्ता के home directory में मौजूद shell startup file। 4
9
सुरक्षा प्रभाव तुरंत नहीं, बल्कि बाद में सामने आता था: shell startup file में डाला गया code, डेवलपर के अगली बार terminal खोलने पर agent sandbox के बाहर चल सकता था। इस host-level कार्रवाई के लिए सामान्य approval prompt की भी आवश्यकता नहीं थी। 4
7
साझा कमी: विशेषाधिकार-युक्त घटक ने गलत चीज़ पर भरोसा किया
Heapjack और Overpatch की तकनीकी राहें अलग थीं, लेकिन दोनों एक ही डिज़ाइन समस्या उजागर करते हैं: सुरक्षा लागू करने वाले घटक ने ऐसी जानकारी पर भरोसा किया जो अनविश्वसनीय सीमा के भीतर उपलब्ध या प्रभावित हो सकती थी।
| खामी | किस पर भरोसा किया गया | सीमा क्यों टूटी |
|---|---|---|
| Heapjack | साझा V8 heap में मौजूद authorization token | अनविश्वसनीय code trusted requests की पहचान करने वाला secret निकाल सकता था। |
| Overpatch | एजेंट-नियंत्रित patch में दिए गए paths | इन paths ने सिर्फ अपेक्षित edit बताने के बजाय write permissions की सीमा तय कर दी। |
इसे confused-deputy समस्या कहा जा सकता है: उच्च विशेषाधिकार वाला helper या harness कम-भरोसेमंद इनपुट के behalf पर कोई कार्रवाई कर देता है, लेकिन उसके अधिकार या अंतिम target की सुरक्षित जाँच नहीं करता। इसलिए सिर्फ एजेंट के shell को sandbox करना पर्याप्त नहीं है, यदि helpers, tokens, configuration और orchestration subprocesses विशेषाधिकार-युक्त रहें या repository content से प्रभावित हो सकें।
Git-आधारित agent escapes भी इसी पैटर्न में कैसे आते हैं
2026 में सामने आए दूसरे coding-agent sandbox निष्कर्ष तकनीकी रूप से अलग थे, पर वास्तु के स्तर पर मिलते-जुलते थे। Accomplish की Beltdown और Beltdown2 रिपोर्टों में एजेंट का shell sandboxed था, लेकिन आसपास के harness के अंदर चलने वाले Git commands sandbox के बाहर चलते थे। रिपॉजिटरी की .git/config फ़ाइल में Git का core.fsmonitor setting ऐसा helper सेट कर सकता था, जिसे Git working tree जाँचते समय चलाता है। 17
18
Manifold Security ने इस व्यापक श्रेणी को GitSpawn नाम दिया। इसमें repository-नियंत्रित Git configuration के कारण agent के project inspect करते ही हमलावर के चुने हुए code का execution हो सकता था—कभी-कभी किसी सार्थक approval या trust decision से पहले भी। 20
21
इसका अर्थ यह नहीं कि हर repository हर workflow में अपने-आप खतरनाक है। सबक यह है कि metadata inspect करने, symlink resolve करने, patches लागू करने, hooks चलाने या helper processes शुरू करने वाले tools के लिए repository को संभावित रूप से सक्रिय इनपुट मानना चाहिए। किसी agent product की trust boundary में ये सभी रास्ते आते हैं—सिर्फ दिखने वाला command tool नहीं।
किन Codex संस्करणों में पैच उपलब्ध हैं
रिपोर्ट के अनुसार न्यूनतम सुरक्षित रिलीज़ ये हैं:
- Heapjack के लिए Codex Desktop build 26.818.21641 या बाद का संस्करण।
9
- Overpatch के लिए Codex CLI version 0.149.0 या बाद का संस्करण।
4
Accomplish के अनुसार, दोनों समस्याएँ 12 अगस्त 2026 को OpenAI को रिपोर्ट की गईं और आठ दिनों के भीतर fixes उपलब्ध करा दिए गए। 9
अनजान या अविश्वसनीय repository खोलने से पहले क्या करें
- Desktop ऐप और CLI, दोनों अपडेट करें। दोनों समस्याएँ अलग घटकों में थीं; Desktop द्वारा इंस्टॉल किया गया global helper साझा configuration वाले CLI sessions को भी प्रभावित कर सकता था।
- Repository को केवल source code न मानें। Symlinks, patch paths, configuration files, hooks और Git metadata एजेंट या उसके harness के व्यवहार को प्रभावित कर सकते हैं।
20
- संवेदनशील host संसाधनों को environment से दूर रखें। अनजान code की जाँच करते समय long-lived credentials, SSH keys, cloud tokens, Docker sockets या home directory की संवेदनशील फ़ाइलें उपलब्ध न कराएँ।
- वास्तव में अनविश्वसनीय projects के लिए बाहरी isolation अपनाएँ। एक disposable VM या वैसा ही मजबूत अलग environment, agent, helper या harness compromise होने की स्थिति में अलग सुरक्षा-सीमा देता है।
- ज्यों-का-त्यों पहुँची repositories के साथ विशेष सावधानी रखें। GitSpawn जैसे जोखिम तब खास तौर पर प्रासंगिक हैं जब project archive, shared drive, sync folder या removable media से आए और उसमें
.gitmetadata बचा रहे। सामान्यgit cloneआम तौर पर remote repository की स्थानीय.git/configफ़ाइल साथ नहीं लाता।22
व्यावहारिक निष्कर्ष सीधा है: प्रभावित Codex components को पैच करें, लेकिन किसी अनजान repository और डेवलपर workstation के बीच सुरक्षा के लिए केवल in-process sandbox पर निर्भर न रहें।
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
लोग पूछते भी हैं
"Heapjack और Overpatch: OpenAI Codex सैंडबॉक्स से बाहर निकलने के दो रास्ते" का संक्षिप्त उत्तर क्या है?
Heapjack और Overpatch से अनविश्वसनीय रिपॉजिटरी की मदद से Codex की तय सीमा पार कर होस्ट सिस्टम पर कार्रवाई संभव हो सकती थी। Heapjack के लिए Codex Desktop build 26.818.21641 या नया, और Overpatch के लिए Codex CLI 0.149.0...
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
Heapjack और Overpatch से अनविश्वसनीय रिपॉजिटरी की मदद से Codex की तय सीमा पार कर होस्ट सिस्टम पर कार्रवाई संभव हो सकती थी। Heapjack के लिए Codex Desktop build 26.818.21641 या नया, और Overpatch के लिए Codex CLI 0.149.0... Heapjack में वैश्विक रूप से कॉन्फ़िगर node repl हेल्पर के साझा V8 heap से प्राधिकरण टोकन निकाला जा सकता था; Overpatch में हमलावर नियंत्रित patch paths के आधार पर apply patch की write permissions बढ़ सकती थीं।
मुझे अभ्यास में आगे क्या करना चाहिए?
2026 के Git कॉन्फ़िगरेशन आधारित अन्य agent escapes का तरीका अलग था, लेकिन मूल वास्तु दोष वही था: सैंडबॉक्स के बाहर के विशेषाधिकार युक्त orchestration path ने रिपॉजिटरी नियंत्रित इनपुट पर भरोसा किया।
सूत्र