Codexのサンドボックスは、AIコーディングエージェントが読めるもの、書き込めるもの、実行できるものを制限するための境界だ。しかしAccomplish AIが報告したHeapjackとOverpatchは、信頼されたコンポーネントが、信頼できない側から到達可能な秘密情報や入力を根拠に権限を扱うと、その境界を回避できることを示した。いずれも修正済みとされている。48

まず更新すべきバージョン

報告された最小修正版は次の通り。

• Heapjack：Codex Desktop ビルド26.818.21641以降 89
• Overpatch：Codex CLI バージョン0.149.0以降 48

Accomplishによると、両問題は2026年8月12日にOpenAIへ報告され、8日以内に修正された。9

重要なのは、DesktopとCLIが別々の影響範囲を持つことだ。片方だけではなく、Codex DesktopとCodex CLIの双方を更新したい。89

Heapjack：共有V8ヒープにあった「認可の鍵」

Heapjackの対象は、Codex Desktopが導入するnode_repl連携機能だった。研究者によれば、DesktopアプリはMCPサーバー設定をグローバルな~/.codex/config.tomlに置く。そのため、この共有設定を使うCLIセッションもヘルパーを継承し得る。89

問題の核心は、ヘルパーのJavaScript実行環境における分離だった。

• 信頼されたコンテキストが、実行ごとの認可トークンを保持していた。
• 一方で、エージェントが制御できる信頼されないコンテキストも、同じV8ヒープ上で実行されていた。
• 信頼されない側がトークンを取得できれば、ネイティブ親プロセスが認可済みとみなすリクエストを送れた。815

親プロセスはサンドボックスの外で動作していたため、結果としてホスト側のコマンド実行を含む操作につながり得た。Codexが読み取り専用モードとされている場合でも同様である。815

ここでの問題は「JavaScriptが実行された」こと自体ではない。信頼された処理と信頼されない処理を区別するための認可情報が、信頼されない処理から読めるメモリ領域にあったことが本質だ。815

Overpatch：パッチ内のパスが書き込み権限を広げた

Overpatchは、ワークスペース書き込みモードにおけるCodex CLIのapply_patchに関する問題だ。本来、このツールは編集先をワークスペース内に限定する想定だった。しかし認可ロジックは、パッチに記された親ディレクトリ名を基に書き込み可能範囲を与えていた。4

つまり、パッチ内のパスが単なる「編集対象の記述」ではなく、セキュリティ上重要な入力になっていた。Accomplishの概念実証では、実質的な変更をしない/tmpのようなパスを含めることで、権限がファイルシステムのルートまで拡大した。別の変更では、リポジトリが制御するシンボリックリンクをたどり、ワークスペース外のファイルを変更できた。対象には、ユーザーのホームディレクトリにあるシェル起動ファイルも含まれる。49

影響は直ちに見えない場合もあるが、重大だ。たとえばシェル起動ファイルへコードを書き込まれると、開発者が後でターミナルを開いた際、そのコードがエージェントのサンドボックス外で実行される可能性がある。このホスト側の結果的な操作には、通常の承認プロンプトを要しなかった。47

共通する欠陥：特権側が「信頼してはいけないもの」を信頼した

HeapjackとOverpatchは技術的には異なるが、設計上の問題は共通している。境界を強制する仕組みが、信頼されない側から影響を受けるデータを信頼したことだ。

問題	信頼されたもの	境界が破られた理由
Heapjack	共有V8ヒープ内の認可トークン	信頼されないコードが、信頼済みリクエストを識別する秘密情報を取得できた。815
Overpatch	エージェントが制御するパッチに含まれるパス	パスが編集内容の記述にとどまらず、書き込み権限の範囲を左右した。4

これは、より高い権限を持つコンポーネントが、低信頼の入力を適切に検証せず、その入力のために操作を実行してしまう混乱した代理人（confused deputy）問題と捉えられる。

したがって、エージェントのシェルだけを隔離しても十分ではない。ヘルパー、認可トークン、設定、オーケストレーション用サブプロセスが特権を持つ、あるいはリポジトリ内容に影響されるなら、それらも信頼境界の一部になる。

Git経由の回避とも共通する構図

2026年に報告されたほかのコーディングエージェントのサンドボックス回避も、技術詳細は違うものの、構造的には似ている。AccomplishのBeltdownおよびBeltdown2では、エージェントのシェルは隔離されている一方、周辺ハーネスが実行する内部Gitコマンドはサンドボックス外で動いていた。

リポジトリの.git/configにあるGit設定core.fsmonitorを利用すると、Gitが作業ツリーを調べる際に指定済みヘルパーを実行し得る。1718

Manifold Securityは、この種の問題をGitSpawnと呼んだ。リポジトリ側で制御されたGit設定によって、エージェントがプロジェクトを調べるだけで攻撃者が選んだコードを実行させられる可能性がある。意味のある承認や信頼確認より前に発生し得る点が問題となる。2021

すべてのリポジトリが、すべてのワークフローで自動的に危険になるという意味ではない。ただし、ツールがメタデータを検査し、シンボリックリンクを解決し、パッチを適用し、フックを動かし、ヘルパープロセスを起動するなら、リポジトリは単なるソースコードではなく、動作に影響を与え得る入力として扱う必要がある。

未知のリポジトリを開く前にすること

1. DesktopとCLIを両方更新する。 問題は別コンポーネントに存在した。Desktopが導入するグローバルヘルパーは、共有設定を使うCLIセッションにも影響し得る。89
2. リポジトリを「ソースコードだけ」と考えない。 シンボリックリンク、パッチ内パス、設定ファイル、フック、Gitメタデータはいずれも、エージェントやハーネスの動作を変え得る。420
3. 機密性の高いホスト資産を露出させない。 未知のコードを評価する環境では、長期利用の認証情報、SSH鍵、クラウドトークン、Dockerソケット、ホームディレクトリ内の機密ファイルを利用可能な状態にしない。
4. 本当に信頼できないプロジェクトには外部隔離を使う。 使い捨てVMなど、より強い隔離環境を用意すれば、エージェント、ヘルパー、ハーネスのいずれかが侵害された場合にも別の境界を確保できる。
5. .gitを保ったまま届くリポジトリには特に注意する。 GitSpawn型のリスクは、アーカイブ、共有ドライブ、同期フォルダ、リムーバブルメディアなど、.gitメタデータを含めて受け取るケースで特に問題になる。通常のgit cloneでは、リモート側のローカル.git/configは通常転送されない。22

実務上の結論は明快だ。影響を受けたCodexコンポーネントを更新することは必須だが、未知のリポジトリと開発者のワークステーションの間を守る仕組みを、プロセス内のサンドボックスだけに委ねるべきではない。

Codexのサンドボックスは、AIコーディングエージェントが読めるもの、書き込めるもの、実行できるものを制限するための境界だ。しかしAccomplish AIが報告したHeapjackとOverpatchは、信頼されたコンポーネントが、信頼できない側から到達可能な秘密情報や入力を根拠に権限を扱うと、その境界を回避できることを示した。いずれも修正済みとされている。48

まず更新すべきバージョン

報告された最小修正版は次の通り。

• Heapjack：Codex Desktop ビルド26.818.21641以降 89
• Overpatch：Codex CLI バージョン0.149.0以降 48

Accomplishによると、両問題は2026年8月12日にOpenAIへ報告され、8日以内に修正された。9

重要なのは、DesktopとCLIが別々の影響範囲を持つことだ。片方だけではなく、Codex DesktopとCodex CLIの双方を更新したい。89

Heapjack：共有V8ヒープにあった「認可の鍵」

Heapjackの対象は、Codex Desktopが導入するnode_repl連携機能だった。研究者によれば、DesktopアプリはMCPサーバー設定をグローバルな~/.codex/config.tomlに置く。そのため、この共有設定を使うCLIセッションもヘルパーを継承し得る。89

問題の核心は、ヘルパーのJavaScript実行環境における分離だった。

• 信頼されたコンテキストが、実行ごとの認可トークンを保持していた。
• 一方で、エージェントが制御できる信頼されないコンテキストも、同じV8ヒープ上で実行されていた。
• 信頼されない側がトークンを取得できれば、ネイティブ親プロセスが認可済みとみなすリクエストを送れた。815

親プロセスはサンドボックスの外で動作していたため、結果としてホスト側のコマンド実行を含む操作につながり得た。Codexが読み取り専用モードとされている場合でも同様である。815

ここでの問題は「JavaScriptが実行された」こと自体ではない。信頼された処理と信頼されない処理を区別するための認可情報が、信頼されない処理から読めるメモリ領域にあったことが本質だ。815

Overpatch：パッチ内のパスが書き込み権限を広げた

Overpatchは、ワークスペース書き込みモードにおけるCodex CLIのapply_patchに関する問題だ。本来、このツールは編集先をワークスペース内に限定する想定だった。しかし認可ロジックは、パッチに記された親ディレクトリ名を基に書き込み可能範囲を与えていた。4

つまり、パッチ内のパスが単なる「編集対象の記述」ではなく、セキュリティ上重要な入力になっていた。Accomplishの概念実証では、実質的な変更をしない/tmpのようなパスを含めることで、権限がファイルシステムのルートまで拡大した。別の変更では、リポジトリが制御するシンボリックリンクをたどり、ワークスペース外のファイルを変更できた。対象には、ユーザーのホームディレクトリにあるシェル起動ファイルも含まれる。49

影響は直ちに見えない場合もあるが、重大だ。たとえばシェル起動ファイルへコードを書き込まれると、開発者が後でターミナルを開いた際、そのコードがエージェントのサンドボックス外で実行される可能性がある。このホスト側の結果的な操作には、通常の承認プロンプトを要しなかった。47

共通する欠陥：特権側が「信頼してはいけないもの」を信頼した

HeapjackとOverpatchは技術的には異なるが、設計上の問題は共通している。境界を強制する仕組みが、信頼されない側から影響を受けるデータを信頼したことだ。

問題	信頼されたもの	境界が破られた理由
Heapjack	共有V8ヒープ内の認可トークン	信頼されないコードが、信頼済みリクエストを識別する秘密情報を取得できた。815
Overpatch	エージェントが制御するパッチに含まれるパス	パスが編集内容の記述にとどまらず、書き込み権限の範囲を左右した。4

これは、より高い権限を持つコンポーネントが、低信頼の入力を適切に検証せず、その入力のために操作を実行してしまう混乱した代理人（confused deputy）問題と捉えられる。

したがって、エージェントのシェルだけを隔離しても十分ではない。ヘルパー、認可トークン、設定、オーケストレーション用サブプロセスが特権を持つ、あるいはリポジトリ内容に影響されるなら、それらも信頼境界の一部になる。

Git経由の回避とも共通する構図

2026年に報告されたほかのコーディングエージェントのサンドボックス回避も、技術詳細は違うものの、構造的には似ている。AccomplishのBeltdownおよびBeltdown2では、エージェントのシェルは隔離されている一方、周辺ハーネスが実行する内部Gitコマンドはサンドボックス外で動いていた。

リポジトリの.git/configにあるGit設定core.fsmonitorを利用すると、Gitが作業ツリーを調べる際に指定済みヘルパーを実行し得る。1718

Manifold Securityは、この種の問題をGitSpawnと呼んだ。リポジトリ側で制御されたGit設定によって、エージェントがプロジェクトを調べるだけで攻撃者が選んだコードを実行させられる可能性がある。意味のある承認や信頼確認より前に発生し得る点が問題となる。2021

すべてのリポジトリが、すべてのワークフローで自動的に危険になるという意味ではない。ただし、ツールがメタデータを検査し、シンボリックリンクを解決し、パッチを適用し、フックを動かし、ヘルパープロセスを起動するなら、リポジトリは単なるソースコードではなく、動作に影響を与え得る入力として扱う必要がある。

未知のリポジトリを開く前にすること

1. DesktopとCLIを両方更新する。 問題は別コンポーネントに存在した。Desktopが導入するグローバルヘルパーは、共有設定を使うCLIセッションにも影響し得る。89
2. リポジトリを「ソースコードだけ」と考えない。 シンボリックリンク、パッチ内パス、設定ファイル、フック、Gitメタデータはいずれも、エージェントやハーネスの動作を変え得る。420
3. 機密性の高いホスト資産を露出させない。 未知のコードを評価する環境では、長期利用の認証情報、SSH鍵、クラウドトークン、Dockerソケット、ホームディレクトリ内の機密ファイルを利用可能な状態にしない。
4. 本当に信頼できないプロジェクトには外部隔離を使う。 使い捨てVMなど、より強い隔離環境を用意すれば、エージェント、ヘルパー、ハーネスのいずれかが侵害された場合にも別の境界を確保できる。
5. .gitを保ったまま届くリポジトリには特に注意する。 GitSpawn型のリスクは、アーカイブ、共有ドライブ、同期フォルダ、リムーバブルメディアなど、.gitメタデータを含めて受け取るケースで特に問題になる。通常のgit cloneでは、リモート側のローカル.git/configは通常転送されない。22

実務上の結論は明快だ。影響を受けたCodexコンポーネントを更新することは必須だが、未知のリポジトリと開発者のワークステーションの間を守る仕組みを、プロセス内のサンドボックスだけに委ねるべきではない。