AnswersPublished20 sources
Heapjack och Overpatch: så kunde Codex-sandboxen kringgås
Heapjack och Overpatch kunde kringgå avsedda Codex gränser och leda till åtgärder på värdsystemet från ett opålitligt kodförråd. Heapjack utnyttjade en globalt konfigurerad node repl hjälpare och en delad V8 heap, medan Overpatch missbrukade skrivbehörigheter som beräknades från sökvägar i en patch som angriparen ko...
Publicerad avRedigerad med GPT-5.6 TerraBilder genererade med GPT Image 2
Research answer
Key takeaways
- Heapjack och Overpatch kunde kringgå avsedda Codex gränser och leda till åtgärder på värdsystemet från ett opålitligt kodförråd.
- Heapjack utnyttjade en globalt konfigurerad node repl hjälpare och en delad V8 heap, medan Overpatch missbrukade skrivbehörigheter som beräknades från sökvägar i en patch som angriparen kontrollerade.
- Liknande agentflykter under 2026, kopplade till Git konfiguration, hade en annan teknik men samma grundproblem: en osandboxad orkestreringsväg litade på indata från kodförrådet.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Accomplish AI researchers’ Heapjack and Overpatch vulnerabilities enable sandbox escapes and host-command execution in OpenAI’s Code. Article summary: Accomplish’s two findings bypassed Codex’s intended workspace/read-only boundaries by making a trusted enforcement component rely on attacker-influenced state. Both could turn an untrusted repository into host-level code. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Codex-sandboxen ska begränsa vad en AI-kodagent får läsa, skriva och köra. Säkerhetsforskarna på Accomplish AI visade dock med Heapjack och Overpatch att gränsen kunde passeras när en betrodd komponent antingen delade en hemlighet med opålitlig kod eller lät angriparstyrd indata påverka behörigheter. Båda bristerna har rapporterats som åtgärdade. 4
8
Heapjack: en behörighetshemlighet i delat minne
Heapjack gällde integrationen node_repl, som installerades av Codex Desktop. Enligt forskarna lade Desktop-appen MCP-serverns konfiguration i den globala filen ~/.codex/config.toml. Det innebar att även CLI-sessioner som använde den delade konfigurationen kunde ärva hjälparen. 8
9
Det avgörande isoleringsfelet fanns i hjälparens JavaScript-miljö:
- Ett betrott sammanhang behöll en behörighetstoken för den aktuella körningen.
- Ett opålitligt, agentstyrt sammanhang kördes i samma V8-heap.
- Den opålitliga sidan kunde hämta tokenen och använda den för begäranden som den inbyggda överordnade processen betraktade som behöriga.
8
15
Den överordnade processen kördes utanför sandboxen. Följden kunde därför bli åtgärder på värdsystemet, inklusive kommandoexekvering, även när Codex formellt kördes i skrivskyddat läge. Problemet var alltså inte enbart att JavaScript kördes, utan att den hemlighet som skilde betrodd från opålitlig kod fanns i minne som den opålitliga sidan kunde nå. 8
15
Overpatch: patchinnehållet utökade behörigheterna
Overpatch var en brist i Codex CLI:s apply_patch i läget med skrivåtkomst till arbetsytan. Verktyget skulle begränsa ändringar till arbetsytan, men auktoriseringslogiken gav skrivbehörighet utifrån överordnade kataloger som angavs i själva patchen. 4
Det gjorde patchens sökvägar säkerhetskritisk indata. Accomplish beskrev ett koncepttest där en i övrigt verkningslös sökväg, som /tmp, fick behörigheten att utvidgas till filsystemets rot. En separat ändring i patchen följde sedan en symlänk som kontrollerades av kodförrådet för att ändra en fil utanför arbetsytan, bland annat en startfil för användarens skal i hemkatalogen. 4
9
Effekten kom först senare, men var betydande: kod som skrivits in i en startfil för skalet kunde köras utanför agentsandboxen när utvecklaren nästa gång öppnade en terminal. Den resulterande värdåtgärden krävde inte den vanliga godkännandefrågan. 4
7
Samma grundfel: en privilegierad komponent litade på fel sak
Heapjack och Overpatch använde olika tekniska vägar, men blottlade samma designproblem: mekanismen som skulle upprätthålla gränsen litade på data som den opålitliga sidan kunde påverka eller nå.
| Brist | Vad som litades på | Varför gränsen brast |
|---|---|---|
| Heapjack | En behörighetstoken i en delad V8-heap | Opålitlig kod kunde hämta hemligheten som skilde behöriga begäranden från obehöriga. |
| Overpatch | Sökvägar i en patch som agenten kontrollerade | Sökvägarna påverkade omfattningen av skrivbehörigheten i stället för att bara beskriva en avsedd ändring. |
Det är ett exempel på problemet confused deputy: en hjälpare eller process med högre privilegier utför en åtgärd åt indata med lägre förtroendenivå utan att säkert kontrollera behörigheten eller det slutliga målet. Att enbart sandboxa agentens skal räcker därför inte om hjälpprocesser, tokens, konfiguration och orkestreringsprocesser fortfarande har privilegier eller kan påverkas av innehållet i ett kodförråd.
Git-baserade agentflykter följer samma mönster
Andra fynd om kodagenters sandboxar under 2026 var tekniskt annorlunda, men arkitektoniskt närbesläktade. Accomplishs rapporter Beltdown och Beltdown2 beskrev agenters skal som var sandboxade, medan interna Git-kommandon i den omgivande harnessen kördes utanför sandboxen. Ett kodförråds .git/config kunde använda Gits inställning core.fsmonitor för att få Git att köra en angiven hjälpprocess när arbetskatalogen kontrollerades. 17
18
Manifold Security beskrev denna bredare kategori som GitSpawn: en Git-konfiguration som kontrolleras av kodförrådet kunde få angriparvald kod att köras när en agent granskade projektet, möjligen innan något meningsfullt godkännande eller förtroendebeslut fattats. 20
21
Lärdomen är inte att varje kodförråd automatiskt är farligt i varje arbetsflöde. Däremot bör kodförråd behandlas som potentiellt aktiv indata när verktyg granskar metadata, följer symlänkar, applicerar patchar, kör hooks eller startar hjälpprocesser. Produktens förtroendegräns omfattar alla dessa vägar, inte bara det synliga kommandoradsverktyget.
Åtgärdade Codex-versioner
De rapporterade lägsta versionerna med korrigering är:
- Codex Desktop build 26.818.21641 eller senare för Heapjack.
9
- Codex CLI version 0.149.0 eller senare för Overpatch.
4
Accomplish uppgav att båda bristerna rapporterades till OpenAI den 12 augusti 2026 och att korrigeringar kom inom åtta dagar. 9
Innan du öppnar ett opålitligt kodförråd
- Uppdatera både Desktop-appen och CLI. Bristerna gällde olika komponenter, och den globalt installerade Desktop-hjälparen kunde påverka CLI-sessioner som använde delad konfiguration.
- Se kodförrådsinnehåll som mer än källkod. Symlänkar, patchsökvägar, konfigurationsfiler, hooks och Git-metadata kan påverka vad agenten eller dess harness gör.
20
- Håll känsliga resurser utanför miljön. Exponera inte långlivade autentiseringsuppgifter, SSH-nycklar, molntokens, Docker-socketar eller känsliga filer i hemkatalogen vid granskning av okänd kod.
- Använd extern isolering för verkligt opålitliga projekt. En tillfällig virtuell maskin eller motsvarande stark isolering ger en separat skyddsgräns om agenten, en hjälpare eller harnessen komprometteras.
- Var särskilt försiktig med kodförråd som levereras intakta. GitSpawn-liknande risker är mest relevanta när ett projekt kommer via arkivfil, delad disk, synkroniserad mapp eller flyttbart media som bevarar
.git-metadata. En vanlig kloning överför normalt inte ett fjärrkodförråds lokala.git/config.22
Den praktiska slutsatsen är enkel: installera korrigeringarna för berörda Codex-komponenter, men lita inte på en sandbox i samma process som enda skydd mellan ett okänt kodförråd och utvecklarens arbetsstation.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Heapjack och Overpatch: så kunde Codex-sandboxen kringgås"?
Heapjack och Overpatch kunde kringgå avsedda Codex gränser och leda till åtgärder på värdsystemet från ett opålitligt kodförråd.
What are the key points to validate first?
Heapjack och Overpatch kunde kringgå avsedda Codex gränser och leda till åtgärder på värdsystemet från ett opålitligt kodförråd. Heapjack utnyttjade en globalt konfigurerad node repl hjälpare och en delad V8 heap, medan Overpatch missbrukade skrivbehörigheter som beräknades från sökvägar i en patch som angriparen kontrollerade.
What should I do next in practice?
Liknande agentflykter under 2026, kopplade till Git konfiguration, hade en annan teknik men samma grundproblem: en osandboxad orkestreringsväg litade på indata från kodförrådet.
Sources