Codexの「読み取り専用」も突破――HeapjackとOverpatch、異なる2つの抜け道

「読み取り専用なら、知らないリポジトリを調べても安全」とは限らなかった。Accomplish AIが発見したCodexの2つの脆弱性では、攻撃者が用意したリポジトリの内容が、本来はより強い権限を持つ補助ツールに影響を及ぼし得た。Heapjackは読み取り専用モードから開発者のPC上でのコマンド実行に、Overpatchは許可された作業領域の外への書き込みにつながる問題だった。26

Heapjack：読み取り専用でもコマンドを実行

Heapjackが狙ったのは、Codex Desktopが導入するJavaScript用の補助ツールnode_replだ。このツールは設定を通じてCodex CLIのセッションからも利用できた。信頼できるコードと信頼できないコードは別々のJavaScript実行環境に置かれていたが、同じNode.jsプロセス内でメモリを共有していた。819

研究者によると、信頼できない側のコードは、信頼できるコードを識別するための秘密情報をメモリから取得できた。それを使って権限のある側になりすまし、開発者のPC上でサンドボックスの制限を受けないコマンドを実行できたという。つまり、悪意あるリポジトリについてCodexに質問するだけでも、読み取り専用モードが安全を保証するわけではなかった。81927

Overpatch：作業領域の外へ書き込み

一方のOverpatchは、Codex CLIのworkspace-writeモードで使うapply_patchに存在した。このモードでは原則としてプロジェクトの作業領域内に書き込みが制限されるが、細工したパッチによって、承認を求める画面を出さずに領域外へ書き込めた。269

Heapjackと異なり、ここで直接起きるのは領域外へのファイル書き込みだ。ただし、たとえばシェルの起動時に読み込まれる設定ファイルを書き換えれば、その後のコマンド実行につながる可能性もある。29

共通点と、利用者が確認すべきこと

2つの攻撃に共通するのは、信頼できない入力が権限の高い補助ツールに届き、そのツール内部の判定だけでは境界を守れなかった点だ。Heapjackではコードの信頼性を見分ける仕組みが、Overpatchでは書き込み先を制限する仕組みが破られた。289

Accomplish AIによると、両脆弱性は2026年8月12日にOpenAIへ報告され、いずれも8日以内に修正された。修正版はHeapjackがCodex Desktopビルド26.818.21641以降、OverpatchがCodex CLI 0.149.0以降だ。Desktopが導入した補助ツールをCLIセッションでも使えるため、両方を利用している場合は、それぞれのバージョンを確認して更新したい。信頼できないリポジトリを調べる際は、読み取り専用モードだけを隔離策と考えず、特に更新前は隔離された環境を使うことが重要だ。1278