Как Heapjack и Overpatch выводили Codex за пределы песочницы

Открыть чужой репозиторий в Codex и попросить объяснить код — на первый взгляд, не то же самое, что разрешить программе менять систему. Но исследователи Accomplish AI обнаружили два пути, по которым данные из такого репозитория могли выйти за пределы ограничений Codex. Heapjack давала возможность выполнять команды на компьютере разработчика даже в режиме только для чтения; Overpatch позволяла записывать файлы вне разрешённой рабочей папки без запроса подтверждения. 26

Heapjack: почему режим только для чтения не помогал

Heapjack затрагивала JavaScript-компонент node_repl, устанавливаемый Codex Desktop. Через общую конфигурацию он мог быть доступен и в сеансах Codex CLI — версии Codex для командной строки. Доверенный и недоверенный JavaScript работали в разных контекстах, но внутри одного процесса Node.js и с общей областью памяти. Исследователи выяснили, что недоверенный код мог найти в памяти секрет, по которому компонент распознавал доверенный код, а затем воспользоваться его полномочиями для запуска команд вне песочницы на компьютере разработчика. 819

Поэтому в описанном исследователями сценарии для риска было достаточно попросить Codex изучить вредоносный репозиторий: запрет на запись файлов в режиме read-only не перекрывал этот путь. 27

Overpatch: запись за пределами проекта

Overpatch находилась в механизме apply_patch программы Codex CLI. В режиме workspace-write Codex должен записывать изменения только в рабочую папку проекта. Однако специально составленный патч позволял инструменту записать файл за её пределами, не спрашивая разрешения. Это не то же самое, что немедленный запуск команды, как в случае Heapjack. Но изменение файла вне проекта могло привести к выполнению команды позднее — например, если затронут файл, который оболочка читает при запуске. 269

Что общего у атак и что проверить

В обоих случаях ввод, на который мог повлиять атакующий, попадал к компоненту с более широкими полномочиями. Защита зависела от проверок внутри самого компонента: Heapjack обходила разделение доверенного и недоверенного кода, а Overpatch — ограничение допустимого места записи. Поэтому настройки read-only и workspace-write не останавливали соответствующие способы атаки. 289

По словам Accomplish AI, исследователи сообщили OpenAI об обеих уязвимостях 12 августа 2026 года, а исправления появились в течение восьми дней. Минимальные версии с исправлениями — Codex Desktop 26.818.21641 для Heapjack и Codex CLI 0.149.0 для Overpatch. Если установлены обе программы, проверьте и обновите обе: компонент, установленный Desktop, мог использоваться и из CLI. При изучении репозитория, которому вы не доверяете, не считайте режим только для чтения достаточной изоляцией; особенно до обновления работайте в изолированной среде. 1278