AnswersPublished20 sources
Heapjack dan Overpatch: Bagaimana Sandbox OpenAI Codex Dibolosi
Heapjack dan Overpatch boleh memintas sempadan Codex yang sepatutnya dan membawa kepada tindakan pada sistem hos daripada repositori tidak dipercayai. Heapjack menyasarkan pembantu node repl yang dikonfigurasi secara global serta heap V8 yang dikongsi, manakala Overpatch menyalahgunakan kebenaran apply patch yang di...
Diterbitkan olehDisunting dengan GPT-5.6 TerraImej dijana dengan GPT Image 2
Research answer
Key takeaways
- Heapjack dan Overpatch boleh memintas sempadan Codex yang sepatutnya dan membawa kepada tindakan pada sistem hos daripada repositori tidak dipercayai.
- Heapjack menyasarkan pembantu node repl yang dikonfigurasi secara global serta heap V8 yang dikongsi, manakala Overpatch menyalahgunakan kebenaran apply patch yang dikira daripada laluan dalam patch kawalan penyerang.
- Penemuan ejen pengekodan lain pada 2026 yang berkaitan dengan konfigurasi Git menggunakan mekanisme berlainan, tetapi mendedahkan kelemahan seni bina serupa: laluan orkestrasi di luar sandbox mempercayai input yang di...
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Accomplish AI researchers’ Heapjack and Overpatch vulnerabilities enable sandbox escapes and host-command execution in OpenAI’s Code. Article summary: Accomplish’s two findings bypassed Codex’s intended workspace/read-only boundaries by making a trusted enforcement component rely on attacker-influenced state. Both could turn an untrusted repository into host-level code. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Sandbox Codex direka untuk mengehadkan fail yang boleh dibaca atau ditulis, serta arahan yang boleh dijalankan oleh ejen pengekodan AI. Namun, penemuan Heapjack dan Overpatch oleh Accomplish AI menunjukkan sempadan itu boleh dipintas apabila komponen yang dipercayai sama ada berkongsi rahsia dengan kod tidak dipercayai atau menentukan keistimewaan berdasarkan input yang dikawal penyerang. Kedua-dua isu telah dilaporkan sebagai telah ditampal. 4
8
Heapjack: token kebenaran dalam heap yang dikongsi
Heapjack menjejaskan integrasi node_repl yang dipasang oleh Codex Desktop. Menurut penyelidik, aplikasi Desktop meletakkan konfigurasi pelayan MCP dalam fail global ~/.codex/config.toml. Ini bermakna sesi CLI yang menggunakan konfigurasi bersama itu juga boleh mewarisi pembantu berkenaan. 8
9
Kegagalan pemisahan utama berlaku dalam masa jalan JavaScript pembantu tersebut:
- Konteks yang dipercayai menyimpan token kebenaran bagi setiap sesi.
- Konteks tidak dipercayai yang dikawal ejen berjalan dalam heap V8 yang sama.
- Bahagian tidak dipercayai boleh mendapatkan semula token itu, lalu menggunakannya untuk membuat permintaan yang dianggap sah oleh proses induk natif.
8
15
Proses induk itu berjalan di luar sandbox. Akibatnya, ia boleh melakukan tindakan pada sistem hos, termasuk menjalankan arahan, walaupun Codex secara nominal berada dalam mod baca sahaja. Isunya bukan sekadar JavaScript dijalankan; bukti kelayakan yang membezakan kerja dipercayai daripada kerja tidak dipercayai disimpan dalam memori yang boleh dicapai oleh bahagian tidak dipercayai. 8
15
Overpatch: kandungan patch meluaskan kebenaran
Overpatch ialah isu dalam Codex CLI pada fungsi apply_patch ketika mod workspace-write. Alat itu sepatutnya mengehadkan suntingan dalam ruang kerja, tetapi logik kebenarannya memberikan skop tulis berdasarkan direktori induk yang dinyatakan dalam patch itu sendiri. 4
Ini menjadikan laluan dalam patch sebagai input yang kritikal kepada keselamatan. Accomplish menerangkan bukti konsep yang menggunakan laluan seperti /tmp—walaupun perubahan itu sendiri tidak berkesan—untuk meluaskan kebenaran hingga ke akar sistem fail. Perubahan patch lain kemudian mengikuti pautan simbolik yang dikawal repositori untuk mengubah fail di luar ruang kerja, termasuk fail permulaan shell dalam direktori rumah pengguna. 4
9
Kesan keselamatannya berlaku kemudian, tetapi tetap serius: kod yang dimasukkan ke fail permulaan shell boleh dilaksanakan di luar sandbox ejen apabila pembangun membuka terminal pada kali seterusnya. Pintasan itu tidak memerlukan gesaan kelulusan biasa untuk tindakan pada hos tersebut. 4
7
Kelemahan bersama: komponen berkeistimewaan mempercayai perkara yang salah
Heapjack dan Overpatch menggunakan laluan teknikal yang berbeza, namun kedua-duanya memperlihatkan masalah reka bentuk yang sama: mekanisme penguatkuasaan mempercayai data yang boleh dicapai atau dipengaruhi dari sisi tidak dipercayai pada sempadan keselamatan.
| Isu | Apa yang dipercayai | Mengapa sempadan gagal |
|---|---|---|
| Heapjack | Token kebenaran dalam heap V8 yang dikongsi | Kod tidak dipercayai boleh mendapatkan rahsia yang digunakan untuk membezakan permintaan dipercayai. |
| Overpatch | Laluan yang dibekalkan dalam patch kawalan ejen | Laluan itu mempengaruhi skop kebenaran menulis, bukan sekadar menerangkan suntingan yang diminta. |
Ini ialah masalah confused deputy: pembantu atau harness yang mempunyai keistimewaan lebih tinggi melakukan tindakan bagi pihak input yang kurang dipercayai tanpa mengesahkan kuasa atau sasaran akhir dengan selamat. Oleh itu, mensandbox shell ejen sahaja tidak memadai jika pembantu, token, konfigurasi dan subproses orkestrasi kekal berkeistimewaan atau boleh dipengaruhi kandungan repositori.
Bagaimana pintasan berasaskan Git menepati corak yang sama
Penemuan lain berkaitan sandbox ejen pengekodan pada 2026 berbeza dari segi teknikal, tetapi serupa dari sudut seni bina. Laporan Beltdown dan Beltdown2 oleh Accomplish menerangkan keadaan apabila shell ejen berada dalam sandbox, sedangkan arahan Git dalaman dalam harness sekeliling berjalan di luar sandbox. Fail .git/config sesebuah repositori boleh menggunakan tetapan core.fsmonitor Git supaya Git menjalankan pembantu yang ditetapkan apabila memeriksa working tree. 17
18
Manifold Security menamakan kelas risiko lebih luas ini sebagai GitSpawn: konfigurasi Git yang dikawal repositori boleh menyebabkan kod pilihan penyerang dijalankan apabila ejen memeriksa projek, termasuk sebelum kelulusan atau keputusan kepercayaan yang bermakna dibuat. 20
21
Pengajarannya bukan setiap repositori secara automatik berbahaya dalam semua aliran kerja. Sebaliknya, repositori perlu dianggap sebagai input yang mungkin aktif apabila alat memeriksa metadata, menyelesaikan pautan simbolik, menggunakan patch, menjalankan hook atau melancarkan proses pembantu. Sempadan kepercayaan produk ejen merangkumi semua laluan ini, bukan hanya alat arahan yang kelihatan.
Versi Codex yang telah ditampal
Versi minimum yang dilaporkan mengandungi pembaikan ialah:
- Codex Desktop binaan 26.818.21641 atau lebih baharu untuk Heapjack.
9
- Codex CLI versi 0.149.0 atau lebih baharu untuk Overpatch.
4
Accomplish berkata kedua-dua isu dilaporkan kepada OpenAI pada 12 Ogos 2026, dan pembaikan tiba dalam tempoh lapan hari. 9
Apa yang perlu dibuat sebelum membuka repositori tidak dipercayai
- Kemas kini kedua-dua aplikasi Desktop dan CLI. Kedua-dua isu menjejaskan komponen berbeza, dan pembantu global yang dipasang Desktop boleh menjejaskan sesi CLI yang menggunakan konfigurasi bersama.
- Anggap kandungan repositori lebih daripada kod sumber. Pautan simbolik, laluan patch, fail konfigurasi, hook dan metadata Git boleh mempengaruhi tindakan ejen atau harnessnya.
20
- Jauhkan sumber hos yang sensitif daripada persekitaran itu. Jangan dedahkan bukti kelayakan jangka panjang, kunci SSH, token awan, soket Docker atau fail sensitif dalam direktori rumah ketika menilai kod yang tidak diketahui asalnya.
- Gunakan pengasingan luaran untuk projek yang benar-benar tidak dipercayai. Mesin maya sementara atau persekitaran yang setara kukuh menyediakan sempadan berasingan sekiranya ejen, pembantu atau harness dikompromi.
- Berhati-hati dengan repositori yang diterima dalam bentuk utuh. Risiko gaya GitSpawn amat relevan jika projek diterima melalui arkib, pemacu kongsi, folder penyelarasan atau media boleh alih yang mengekalkan metadata
.git; proses klon biasa lazimnya tidak memindahkan fail.git/configsetempat daripada repositori jauh.22
Kesimpulan praktikalnya mudah: tampal komponen Codex yang terjejas, tetapi jangan jadikan sandbox dalam proses sebagai satu-satunya kawalan antara repositori yang tidak dikenali dengan komputer kerja pembangun.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Heapjack dan Overpatch: Bagaimana Sandbox OpenAI Codex Dibolosi"?
Heapjack dan Overpatch boleh memintas sempadan Codex yang sepatutnya dan membawa kepada tindakan pada sistem hos daripada repositori tidak dipercayai.
What are the key points to validate first?
Heapjack dan Overpatch boleh memintas sempadan Codex yang sepatutnya dan membawa kepada tindakan pada sistem hos daripada repositori tidak dipercayai. Heapjack menyasarkan pembantu node repl yang dikonfigurasi secara global serta heap V8 yang dikongsi, manakala Overpatch menyalahgunakan kebenaran apply patch yang dikira daripada laluan dalam patch kawalan penyerang.
What should I do next in practice?
Penemuan ejen pengekodan lain pada 2026 yang berkaitan dengan konfigurasi Git menggunakan mekanisme berlainan, tetapi mendedahkan kelemahan seni bina serupa: laluan orkestrasi di luar sandbox mempercayai input yang di...
Sources