AnswersPublished20 sources
Heapjack en Overpatch: zo ontsnapten aanvallers aan de Codex-sandbox
Heapjack en Overpatch konden de bedoelde beveiligingsgrens van Codex omzeilen en vanuit een onbetrouwbare repository tot acties op de host leiden. Heapjack misbruikte een globaal geconfigureerde node repl helper en een gedeelde V8 heap; Overpatch misbruikte schrijfrechten die werden berekend op basis van paden in ee...
Gepubliceerd doorBewerkt met GPT-5.6 TerraAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- Heapjack en Overpatch konden de bedoelde beveiligingsgrens van Codex omzeilen en vanuit een onbetrouwbare repository tot acties op de host leiden.
- Heapjack misbruikte een globaal geconfigureerde node repl helper en een gedeelde V8 heap; Overpatch misbruikte schrijfrechten die werden berekend op basis van paden in een door een aanvaller gestuurde patch.
- Vergelijkbare kwetsbaarheden rond Git configuratie in 2026 hadden een andere technische route, maar dezelfde structurele fout: niet gesandboxte onderdelen vertrouwden invoer die door een repository kon worden beïnvloed.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Accomplish AI researchers’ Heapjack and Overpatch vulnerabilities enable sandbox escapes and host-command execution in OpenAI’s Code. Article summary: Accomplish’s two findings bypassed Codex’s intended workspace/read-only boundaries by making a trusted enforcement component rely on attacker-influenced state. Both could turn an untrusted repository into host-level code. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
De sandbox van Codex is bedoeld om te beperken wat een AI-codeeragent kan lezen, schrijven en uitvoeren. De bevindingen Heapjack en Overpatch van Accomplish AI lieten zien dat die grens toch kon worden omzeild wanneer een vertrouwd onderdeel een geheim deelde met niet-vertrouwde code, of bevoegdheden afleidde uit invoer die een aanvaller beheerste. Beide problemen zijn volgens de rapporten verholpen. 4
8
Heapjack: een autorisatiegeheim in een gedeelde heap
Heapjack trof de node_repl-integratie die Codex Desktop installeerde. Volgens de onderzoekers plaatste de Desktop-app de configuratie van de MCP-server in het globale bestand ~/.codex/config.toml. Daardoor konden CLI-sessies die die gedeelde configuratie gebruikten, de helper eveneens overnemen. 8
9
De cruciale scheidingsfout zat in de JavaScript-runtime van die helper:
- Een vertrouwde context bewaarde per uitvoering een autorisatietoken.
- Een niet-vertrouwde, door de agent aangestuurde context draaide in dezelfde V8-heap.
- De niet-vertrouwde kant kon het token achterhalen en daarmee verzoeken doen die het native bovenliggende proces als geautoriseerd behandelde.
8
15
Dat bovenliggende proces werkte buiten de sandbox. Daardoor konden acties op de host volgen, waaronder het uitvoeren van opdrachten, zelfs wanneer Codex ogenschijnlijk in alleen-lezenmodus stond. Het probleem was dus niet simpelweg dat JavaScript draaide, maar dat het geheim waarmee vertrouwde en niet-vertrouwde verzoeken werden onderscheiden, in geheugen stond dat voor de niet-vertrouwde kant toegankelijk was. 8
15
Overpatch: schrijfrechten verruimd via de inhoud van een patch
Overpatch was een probleem in Codex CLI, in apply_patch wanneer de modus voor schrijven in de werkmap actief was. De tool hoorde wijzigingen tot die werkmap te beperken, maar de autorisatielogica kende schrijfrechten toe op basis van bovenliggende mappen die in de patch zelf werden genoemd. 4
Daarmee werden paden in een patch beveiligingsgevoelige invoer. Accomplish beschreef een proof of concept waarin een verder ineffectief pad als /tmp de permissies tot de hoofdmap van het bestandssysteem verruimde. Een andere wijziging in dezelfde patch volgde vervolgens een symlink die door de repository werd beheerd, om een bestand buiten de werkmap te wijzigen, waaronder een shell-opstartbestand in de thuismap van de gebruiker. 4
9
Het beveiligingsgevolg kwam pas later, maar was reëel: code die in zo'n shell-opstartbestand was geplaatst, kon buiten de agentsandbox worden uitgevoerd zodra de ontwikkelaar later een terminal opende. Voor die uiteindelijke actie op de host was niet de gebruikelijke goedkeuringsprompt nodig. 4
7
De gedeelde oorzaak: een bevoorrecht onderdeel vertrouwde de verkeerde invoer
Heapjack en Overpatch volgden technisch verschillende routes, maar leggen hetzelfde ontwerpprobleem bloot: het afdwingende mechanisme vertrouwde gegevens die vanaf de niet-vertrouwde kant van de grens bereikbaar of beïnvloedbaar waren.
| Probleem | Wat werd vertrouwd | Waarom de grens faalde |
|---|---|---|
| Heapjack | Een autorisatietoken in een gedeelde V8-heap | Niet-vertrouwde code kon het geheim terugvinden waarmee vertrouwde verzoeken werden onderscheiden. |
| Overpatch | Paden uit een door de agent aangestuurde patch | Die paden beïnvloedden de reikwijdte van schrijfrechten, in plaats van alleen een beoogde wijziging te beschrijven. |
Dit is een voorbeeld van het confused-deputy-probleem: een helper of harnas met hogere privileges voert een handeling uit namens invoer met een lager vertrouwensniveau, zonder de bevoegdheid of het uiteindelijke doel afdoende te valideren. Alleen de shell van de agent sandboxen is daarom onvoldoende als helpers, tokens, configuratie en orkestratieprocessen bevoorrecht blijven of door repository-inhoud kunnen worden beïnvloed.
Hoe Git-gebaseerde ontsnappingen in hetzelfde patroon passen
Andere bevindingen over sandbox-ontsnappingen bij codeeragenten in 2026 waren technisch anders, maar architectonisch vergelijkbaar. De Beltdown- en Beltdown2-rapporten van Accomplish beschreven agentshells die wel waren gesandboxed, terwijl interne Git-opdrachten in het omliggende harnas buiten die sandbox draaiden. Via de instelling core.fsmonitor in .git/config kon een repository ervoor zorgen dat Git een ingestelde helper uitvoerde bij het inspecteren van de werkmap. 17
18
Manifold Security omschreef deze bredere klasse als GitSpawn: door de repository beheerde Git-configuratie kon code van een aanvaller laten draaien zodra een agent een project inspecteerde, mogelijk nog vóór een betekenisvolle goedkeurings- of vertrouwensbeslissing. 20
21
De les is niet dat iedere repository automatisch gevaarlijk is in elke werkwijze. Wel moet repository-inhoud als mogelijk actieve invoer worden behandeld wanneer tools metadata inspecteren, symlinks oplossen, patches toepassen, hooks verwerken of hulpprocessen starten. De vertrouwensgrens van een agentproduct omvat al die paden, niet alleen de zichtbare opdrachttaaltool.
Versies met de oplossingen
De gerapporteerde minimale versies met een oplossing zijn:
- Codex Desktop build 26.818.21641 of nieuwer voor Heapjack.
9
- Codex CLI versie 0.149.0 of nieuwer voor Overpatch.
4
Accomplish meldde dat beide problemen op 12 augustus 2026 bij OpenAI zijn gemeld en dat er binnen acht dagen oplossingen beschikbaar waren. 9
Wat te doen vóór u een onbetrouwbare repository opent
- Werk zowel de Desktop-app als de CLI bij. De twee problemen troffen verschillende onderdelen; de door Desktop geïnstalleerde globale helper kon ook CLI-sessies raken die een gedeelde configuratie gebruiken.
- Beschouw repository-inhoud als meer dan broncode. Symlinks, patchpaden, configuratiebestanden, hooks en Git-metadata kunnen bepalen wat een agent of het bijbehorende harnas doet.
20
- Houd gevoelige hostbronnen buiten de omgeving. Stel bij het beoordelen van onbekende code geen langlopende inloggegevens, SSH-sleutels, cloudtokens, Docker-sockets of gevoelige bestanden uit de thuismap beschikbaar.
- Gebruik externe isolatie voor echt onbetrouwbare projecten. Een tijdelijke virtuele machine of vergelijkbaar sterk geïsoleerde omgeving biedt een afzonderlijke grens als de agent, helper of het harnas wordt gecompromitteerd.
- Wees extra voorzichtig met intact aangeleverde repositories. GitSpawn-achtige risico's zijn vooral relevant wanneer een project via een archief, gedeelde schijf, synchronisatiemap of verwisselbaar medium binnenkomt en de
.git-metadata behouden blijft. Bij een gewone clone wordt de lokale.git/configvan de externe repository normaal gesproken niet meegeleverd.22
De praktische conclusie is eenvoudig: installeer de updates voor de getroffen Codex-onderdelen, maar vertrouw niet uitsluitend op een sandbox binnen hetzelfde proces als bescherming tussen een onbekende repository en de werkcomputer van een ontwikkelaar.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Heapjack en Overpatch: zo ontsnapten aanvallers aan de Codex-sandbox"?
Heapjack en Overpatch konden de bedoelde beveiligingsgrens van Codex omzeilen en vanuit een onbetrouwbare repository tot acties op de host leiden.
What are the key points to validate first?
Heapjack en Overpatch konden de bedoelde beveiligingsgrens van Codex omzeilen en vanuit een onbetrouwbare repository tot acties op de host leiden. Heapjack misbruikte een globaal geconfigureerde node repl helper en een gedeelde V8 heap; Overpatch misbruikte schrijfrechten die werden berekend op basis van paden in een door een aanvaller gestuurde patch.
What should I do next in practice?
Vergelijkbare kwetsbaarheden rond Git configuratie in 2026 hadden een andere technische route, maar dezelfde structurele fout: niet gesandboxte onderdelen vertrouwden invoer die door een repository kon worden beïnvloed.
Sources