AnswersPublished20 sources
Heapjack og Overpatch: Slik kunne Codex-sandkassen omgås
Heapjack og Overpatch kunne omgå Codex’ tiltenkte sikkerhetsgrenser og føre til handlinger på vertsmaskinen fra et upålitelig repository. Heapjack utnyttet en globalt konfigurert node repl hjelper og en delt V8 heap, mens Overpatch lot patch stier kontrollert av agenten utvide skrivetillatelser.
Publisert avRedigert med GPT-5.6 TerraBilder generert med GPT Image 2
Research answer
Key takeaways
- Heapjack og Overpatch kunne omgå Codex’ tiltenkte sikkerhetsgrenser og føre til handlinger på vertsmaskinen fra et upålitelig repository.
- Heapjack utnyttet en globalt konfigurert node repl hjelper og en delt V8 heap, mens Overpatch lot patch stier kontrollert av agenten utvide skrivetillatelser.
- Beslektede funn fra 2026 rundt Git konfigurasjon hadde en annen teknisk mekanisme, men samme overordnede svakhet: en usandkasset orkestreringsbane stolte på repository kontrollerte data.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Accomplish AI researchers’ Heapjack and Overpatch vulnerabilities enable sandbox escapes and host-command execution in OpenAI’s Code. Article summary: Accomplish’s two findings bypassed Codex’s intended workspace/read-only boundaries by making a trusted enforcement component rely on attacker-influenced state. Both could turn an untrusted repository into host-level code. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Codex-sandkassen skulle begrense hva en KI-kodeagent kunne lese, skrive og kjøre. Funnene Heapjack og Overpatch fra Accomplish AI viste imidlertid at grensen kunne omgås når en betrodd komponent enten delte en hemmelighet med upålitelig kode, eller avledet rettigheter fra inndata angriperen kontrollerte. Begge feilene er rapportert som rettet. 4
8
Heapjack: autorisasjonshemmelighet i delt minne
Heapjack rammet node_repl-integrasjonen som ble installert av Codex Desktop. Ifølge forskerne la Desktop-appen MCP-serverkonfigurasjonen i den globale filen ~/.codex/config.toml. Det betydde at CLI-økter som brukte den delte konfigurasjonen, også kunne arve hjelpekomponenten. 8
9
Bruddet i isolasjonen lå i hjelperens JavaScript-kjøretid:
- En betrodd kontekst beholdt et autorisasjonstoken for hver kjøring.
- En upålitelig, agentkontrollert kontekst kjørte i samme V8-heap.
- Den upålitelige delen kunne hente ut tokenet og bruke det til forespørsler som den native foreldreprosessen godtok som autoriserte.
8
15
Siden foreldreprosessen opererte utenfor sandkassen, kunne dette gi handlinger på vertsmaskinen, inkludert kjøring av kommandoer, selv når Codex nominelt var i skrivebeskyttet modus. Problemet var ikke bare at JavaScript ble kjørt, men at legitimasjonen som skilte betrodd og upålitelig arbeid, lå i minne som den upålitelige siden kunne nå. 8
15
Overpatch: patch-innhold utvidet tillatelser
Overpatch var en feil i Codex CLI knyttet til apply_patch i arbeidsområde-skrivemodus. Verktøyet skulle holde endringer innenfor arbeidsområdet, men autorisasjonslogikken ga skriverettigheter basert på overordnede kataloger som var oppgitt i selve patchen. 4
Dermed ble patch-stiene sikkerhetskritiske inndata. Accomplish beskrev et konseptbevis der en ellers virkningsløs sti som /tmp fikk tillatelsen til å utvides til filsystemroten. En annen patch-endring fulgte deretter en symlenke kontrollert av repositoryet for å endre en fil utenfor arbeidsområdet, blant annet en oppstartsfil for skallet i brukerens hjemmekatalog. 4
9
Konsekvensen kom først senere, men var likevel alvorlig: kode plassert i en oppstartsfil for skallet kunne kjøre utenfor agentens sandkasse når utvikleren senere åpnet en terminal. Den påfølgende handlingen på vertsmaskinen krevde ikke den vanlige godkjenningsdialogen. 4
7
Fellesnevneren: en privilegert komponent stolte på feil ting
Heapjack og Overpatch brukte ulike tekniske veier, men avdekket samme designproblem: håndhevingsmekanismen stolte på data som var tilgjengelige fra den upålitelige siden av sikkerhetsgrensen.
| Feil | Hva som ble betrodd | Hvorfor grensen sviktet |
|---|---|---|
| Heapjack | Et autorisasjonstoken i en delt V8-heap | Upålitelig kode kunne hente ut hemmeligheten som skilte autoriserte forespørsler fra andre. |
| Overpatch | Stier oppgitt i en agentkontrollert patch | Stiene påvirket omfanget av skrivetillatelsene, i stedet for bare å beskrive ønsket endring. |
Dette er et eksempel på et confused deputy-problem: En hjelper eller kontrollmekanisme med høyere rettigheter utfører en handling på vegne av inndata med lavere tillit, uten å validere autorisasjonen eller det endelige målet på en sikker måte. Det er derfor ikke nok å sandkasse agentens skall dersom hjelpere, token, konfigurasjon og orkestrerende underprosesser fortsatt har høyere rettigheter eller kan påvirkes av repository-innhold.
Slik passer Git-baserte agentrømminger inn i mønsteret
Andre funn fra 2026 om sandkasseomgåelser i kodeagenter var teknisk annerledes, men arkitektonisk like. Accomplish’ rapporter Beltdown og Beltdown2 beskrev agent-skall som var sandkasset, mens interne Git-kommandoer i det omkringliggende rammeverket kjørte utenfor sandkassen. Et repositorys .git/config kunne bruke Git-innstillingen core.fsmonitor slik at Git kjørte en definert hjelper ved inspeksjon av arbeidstreet. 17
18
Manifold Security omtalte denne bredere klassen som GitSpawn: Repository-kontrollert Git-konfigurasjon kunne få angripervalgt kode til å kjøre idet en agent undersøkte et prosjekt, potensielt før brukeren hadde tatt en meningsfull beslutning om godkjenning eller tillit. 20
21
Lærdommen er ikke at ethvert repository automatisk er farlig i enhver arbeidsflyt. Den er at repositoryer må behandles som potensielt aktive inndata når verktøy inspiserer metadata, følger symlenker, legger på patcher, kjører hooks eller starter hjelpeprosesser. Produktets tillitsgrense omfatter alle disse banene – ikke bare det synlige kommandolinjeverktøyet.
Rettede Codex-versjoner
De oppgitte minsteversjonene med rettinger er:
- Codex Desktop build 26.818.21641 eller nyere for Heapjack.
9
- Codex CLI versjon 0.149.0 eller nyere for Overpatch.
4
Accomplish opplyste at begge feilene ble rapportert til OpenAI 12. august 2026, og at rettinger kom innen åtte dager. 9
Før du åpner et ukjent repository
- Oppdater både Desktop-appen og CLI-en. Feilene rammet ulike komponenter, og den globalt installerte Desktop-hjelperen kunne også påvirke CLI-økter med delt konfigurasjon.
- Se på repository-innhold som mer enn kildekode. Symlenker, patch-stier, konfigurasjonsfiler, hooks og Git-metadata kan påvirke hva en agent eller dens rammeverk gjør.
20
- Hold følsomme ressurser utenfor miljøet. Ikke eksponer langvarige legitimasjoner, SSH-nøkler, skytoken, Docker-sokler eller følsomme filer i hjemmekatalogen når du vurderer ukjent kode.
- Bruk ekstern isolasjon for reelt upålitelige prosjekter. En midlertidig virtuell maskin eller et tilsvarende sterkt isolert miljø gir en separat sikkerhetsgrense dersom agenten, hjelperen eller rammeverket kompromitteres.
- Vær særlig forsiktig med repositoryer som leveres intakte. GitSpawn-lignende risiko er mest relevant når et prosjekt kommer i et arkiv, via delt disk, synkroniseringsmappe eller flyttbart medium som beholder
.git-metadata. En vanlig kloning overfører normalt ikke det eksterne repositoryets lokale.git/config.22
Det praktiske rådet er enkelt: Installer de rettede Codex-versjonene, men ikke la en intern sandkasse være den eneste beskyttelsen mellom et ukjent repository og utviklermaskinen din.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Heapjack og Overpatch: Slik kunne Codex-sandkassen omgås"?
Heapjack og Overpatch kunne omgå Codex’ tiltenkte sikkerhetsgrenser og føre til handlinger på vertsmaskinen fra et upålitelig repository.
What are the key points to validate first?
Heapjack og Overpatch kunne omgå Codex’ tiltenkte sikkerhetsgrenser og føre til handlinger på vertsmaskinen fra et upålitelig repository. Heapjack utnyttet en globalt konfigurert node repl hjelper og en delt V8 heap, mens Overpatch lot patch stier kontrollert av agenten utvide skrivetillatelser.
What should I do next in practice?
Beslektede funn fra 2026 rundt Git konfigurasjon hadde en annen teknisk mekanisme, men samme overordnede svakhet: en usandkasset orkestreringsbane stolte på repository kontrollerte data.
Sources