JawabanDipublikasikan20 sumber
Heapjack dan Overpatch: Dua Cara Sandbox OpenAI Codex Ditembus
Heapjack dan Overpatch dapat melewati batas keamanan Codex dan berujung pada tindakan di host dari repositori tak tepercaya. Heapjack menyasar helper node repl yang dikonfigurasi global dan heap V8 bersama; Overpatch menyalahgunakan izin apply patch yang dihitung dari path dalam patch yang dikendalikan penyerang.
Diterbitkan olehDiedit dengan GPT-5.6 TerraGambar dibuat dengan GPT Image 2
Jawaban penelitian
Poin-poin penting
- Heapjack dan Overpatch dapat melewati batas keamanan Codex dan berujung pada tindakan di host dari repositori tak tepercaya.
- Heapjack menyasar helper node repl yang dikonfigurasi global dan heap V8 bersama; Overpatch menyalahgunakan izin apply patch yang dihitung dari path dalam patch yang dikendalikan penyerang.
- Temuan pelarian agent lain pada 2026 yang melibatkan konfigurasi Git memakai teknik berbeda, tetapi menunjukkan kelemahan arsitektur serupa: jalur orkestrasi di luar sandbox memercayai input yang berasal dari repositori.
AI Perintah
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Accomplish AI researchers’ Heapjack and Overpatch vulnerabilities enable sandbox escapes and host-command execution in OpenAI’s Code. Article summary: Accomplish’s two findings bypassed Codex’s intended workspace/read-only boundaries by making a trusted enforcement component rely on attacker-influenced state. Both could turn an untrusted repository into host-level code. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Sandbox Codex dirancang untuk membatasi apa yang dapat dibaca, ditulis, dan dijalankan oleh agent pemrograman AI. Namun, temuan Accomplish AI bernama Heapjack dan Overpatch menunjukkan batas itu masih dapat diterobos ketika komponen tepercaya membagikan rahasia kepada kode tak tepercaya atau menaikkan hak akses berdasarkan input yang dikendalikan penyerang. Keduanya dilaporkan sudah ditambal. 4
8
Heapjack: token otorisasi berada di heap yang sama
Heapjack memengaruhi integrasi node_repl yang dipasang oleh Codex Desktop. Menurut para peneliti, aplikasi Desktop menaruh konfigurasi server MCP tersebut di ~/.codex/config.toml yang bersifat global. Artinya, sesi CLI yang memakai konfigurasi bersama itu juga dapat mewarisi helper tersebut. 8
9
Masalah pemisahannya berada di runtime JavaScript helper itu:
- Konteks tepercaya menyimpan token otorisasi per sesi eksekusi.
- Konteks tak tepercaya, yang kodenya dikendalikan agent, berjalan dalam heap V8 yang sama.
- Sisi tak tepercaya dapat memulihkan token itu lalu memakainya untuk membuat permintaan yang dianggap sah oleh proses induk native.
8
15
Karena proses induk tersebut berjalan di luar sandbox, dampaknya dapat berupa tindakan tingkat host, termasuk eksekusi perintah, bahkan saat Codex secara nominal berada dalam mode hanya-baca. Pokok masalahnya bukan sekadar JavaScript dieksekusi, melainkan kredensial pembeda antara pekerjaan tepercaya dan tak tepercaya tersimpan di memori yang dapat diakses oleh sisi tak tepercaya. 8
15
Overpatch: isi patch memperluas izin
Overpatch merupakan masalah pada Codex CLI, tepatnya apply_patch dalam mode workspace-write. Seharusnya alat ini membatasi perubahan di dalam workspace, tetapi logika otorisasinya memberikan cakupan tulis berdasarkan direktori induk yang disebutkan dalam patch itu sendiri. 4
Dengan demikian, path dalam patch menjadi input yang sensitif secara keamanan. Accomplish mendemonstrasikan proof of concept: path yang sebenarnya tidak efektif, seperti /tmp, dapat membuat izin meluas sampai ke akar sistem berkas. Perubahan patch lain kemudian mengikuti symlink yang dikendalikan repositori untuk mengubah file di luar workspace, termasuk file inisialisasi shell di direktori home pengguna. 4
9
Konsekuensinya memang tidak selalu langsung terjadi, tetapi tetap serius. Kode yang dimasukkan ke file inisialisasi shell dapat berjalan di luar sandbox agent ketika pengembang kemudian membuka terminal. Pelarian ini tidak memerlukan prompt persetujuan normal untuk tindakan di host tersebut. 4
7
Benang merahnya: komponen berhak istimewa memercayai hal yang keliru
Heapjack dan Overpatch memakai jalur teknis berbeda, tetapi keduanya mengungkap masalah desain yang sama: mekanisme penegakan memercayai data yang dapat dijangkau dari sisi tak tepercaya.
| Masalah | Hal yang dipercayai | Mengapa batas keamanan gagal |
|---|---|---|
| Heapjack | Token otorisasi dalam heap V8 bersama | Kode tak tepercaya dapat memulihkan rahasia untuk membedakan permintaan tepercaya. |
| Overpatch | Path yang disuplai dalam patch yang dikendalikan agent | Path tersebut memengaruhi cakupan izin tulis, alih-alih hanya menjelaskan edit yang diinginkan. |
Ini merupakan pola confused deputy: helper atau harness dengan hak lebih tinggi menjalankan tindakan atas dasar input berkepercayaan rendah tanpa memvalidasi otoritas maupun target akhirnya secara aman. Karena itu, men-sandbox shell agent saja tidak cukup jika helper, token, konfigurasi, dan subprocess orkestrasi tetap memiliki hak istimewa atau dapat dipengaruhi oleh isi repositori.
Kaitan dengan pelarian agent berbasis Git
Temuan lain pada agent pemrograman di 2026 berbeda secara teknis, tetapi serupa secara arsitektural. Laporan Beltdown dan Beltdown2 dari Accomplish menjelaskan situasi ketika shell agent berada dalam sandbox, sementara perintah Git internal pada harness di sekelilingnya berjalan di luar sandbox. Konfigurasi .git/config sebuah repositori dapat memakai core.fsmonitor sehingga Git menjalankan helper yang ditentukan saat memeriksa pohon kerja. 17
18
Manifold Security menyebut kelas masalah yang lebih luas ini sebagai GitSpawn: konfigurasi Git yang dikendalikan repositori dapat membuat kode pilihan penyerang berjalan saat agent memeriksa proyek, berpotensi bahkan sebelum keputusan persetujuan atau kepercayaan yang bermakna dibuat. 20
21
Pelajarannya bukan bahwa setiap repositori otomatis berbahaya dalam setiap alur kerja. Namun, repositori perlu diperlakukan sebagai input yang berpotensi aktif ketika alat memeriksa metadata, menyelesaikan symlink, menerapkan patch, menjalankan hook, atau meluncurkan proses helper. Batas kepercayaan produk agent mencakup seluruh jalur tersebut, bukan hanya alat perintah yang terlihat.
Versi Codex yang telah ditambal
Rilis minimum yang dilaporkan telah memperbaiki masalah adalah:
- Codex Desktop build 26.818.21641 atau lebih baru untuk Heapjack.
9
- Codex CLI versi 0.149.0 atau lebih baru untuk Overpatch.
4
Accomplish menyatakan bahwa kedua masalah dilaporkan ke OpenAI pada 12 Agustus 2026 dan perbaikan tersedia dalam delapan hari. 9
Yang perlu dilakukan sebelum membuka repositori tak tepercaya
- Perbarui aplikasi Desktop dan CLI. Kedua masalah memengaruhi komponen yang berbeda, sedangkan helper global yang dipasang Desktop dapat memengaruhi sesi CLI yang memakai konfigurasi bersama.
- Jangan anggap isi repositori hanya berupa kode sumber. Symlink, path patch, file konfigurasi, hook, dan metadata Git dapat memengaruhi tindakan agent atau harness-nya.
20
- Jauhkan sumber daya host yang sensitif dari lingkungan tersebut. Jangan membuka kredensial jangka panjang, kunci SSH, token cloud, socket Docker, atau file sensitif di direktori home saat mengevaluasi kode yang tidak dikenal.
- Gunakan isolasi eksternal untuk proyek yang benar-benar tidak tepercaya. VM sekali pakai atau lingkungan dengan isolasi kuat serupa menyediakan batas terpisah bila agent, helper, atau harness berhasil dikompromikan.
- Waspadai repositori yang diterima dalam keadaan utuh. Risiko bergaya GitSpawn terutama relevan bila proyek datang melalui arsip, drive bersama, folder sinkronisasi, atau media lepasan yang mempertahankan metadata
.git; clone biasa umumnya tidak memindahkan.git/configlokal dari repositori jarak jauh.22
Intinya sederhana: pasang pembaruan untuk komponen Codex yang terdampak, tetapi jangan menjadikan sandbox di dalam proses sebagai satu-satunya pengaman antara repositori yang belum dikenal dan workstation pengembang.
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Orang-orang juga bertanya
Apa jawaban singkat untuk "Heapjack dan Overpatch: Dua Cara Sandbox OpenAI Codex Ditembus"?
Heapjack dan Overpatch dapat melewati batas keamanan Codex dan berujung pada tindakan di host dari repositori tak tepercaya.
Apa poin penting yang harus divalidasi terlebih dahulu?
Heapjack dan Overpatch dapat melewati batas keamanan Codex dan berujung pada tindakan di host dari repositori tak tepercaya. Heapjack menyasar helper node repl yang dikonfigurasi global dan heap V8 bersama; Overpatch menyalahgunakan izin apply patch yang dihitung dari path dalam patch yang dikendalikan penyerang.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Temuan pelarian agent lain pada 2026 yang melibatkan konfigurasi Git memakai teknik berbeda, tetapi menunjukkan kelemahan arsitektur serupa: jalur orkestrasi di luar sandbox memercayai input yang berasal dari repositori.
Sumber