AnswersPublished20 sources
Heapjack ve Overpatch, Codex korumalı alanını nasıl aştı?
Heapjack ve Overpatch, güvenilmeyen bir depodan gelen içeriğin Codex’in amaçlanan sınırlarını aşarak ana makinede işlem yapılmasına yol açabilirdi; Codex Desktop için en az 26.818.21641, Codex CLI için en az 0.149.0 s... Heapjack, küresel olarak yapılandırılan node repl yardımcısındaki ortak V8 yığınından yetkilendi...
YayımlayanGPT-5.6 Terra ile düzenlendiGörseller GPT Image 2 ile oluşturuldu
Research answer
Key takeaways
- Heapjack ve Overpatch, güvenilmeyen bir depodan gelen içeriğin Codex’in amaçlanan sınırlarını aşarak ana makinede işlem yapılmasına yol açabilirdi; Codex Desktop için en az 26.818.21641, Codex CLI için en az 0.149.0 s...
- Heapjack, küresel olarak yapılandırılan node repl yardımcısındaki ortak V8 yığınından yetkilendirme jetonunun çıkarılmasına; Overpatch ise saldırganın denetimindeki yama yollarından türetilen yazma izinlerine dayanıyo...
- 2026’daki Git yapılandırması temelli benzer kaçışlar teknik olarak farklıydı; ancak hepsinde korumalı alan dışındaki ayrıcalıklı bir yürütme yolu, depo denetimindeki girdiye güvendi.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Accomplish AI researchers’ Heapjack and Overpatch vulnerabilities enable sandbox escapes and host-command execution in OpenAI’s Code. Article summary: Accomplish’s two findings bypassed Codex’s intended workspace/read-only boundaries by making a trusted enforcement component rely on attacker-influenced state. Both could turn an untrusted repository into host-level code. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Codex’in korumalı alanı, bir yapay zekâ kodlama ajanının okuyabileceği, yazabileceği ve çalıştırabileceği şeyleri sınırlamak için tasarlanmıştı. Accomplish AI’ın Heapjack ve Overpatch bulguları ise güvenilen bir bileşenin, ya güvenilmeyen kodla bir sırrı paylaşması ya da ayrıcalıkları saldırganın denetimindeki girdiden türetmesi hâlinde bu sınırın aşılabildiğini gösterdi. İki sorun da bildirildi ve düzeltildi. 4
8
Heapjack: ortak yığındaki yetkilendirme sırrı
Heapjack, Codex Desktop’ın yüklediği node_repl entegrasyonunu etkiliyordu. Araştırmacılara göre Desktop uygulaması MCP sunucusu yapılandırmasını genel ~/.codex/config.toml dosyasına yazıyordu. Bu nedenle aynı ortak yapılandırmayı kullanan CLI oturumları da yardımcının etkisini devralabiliyordu. 8
9
Temel ayrım hatası yardımcının JavaScript çalışma zamanındaydı:
- Güvenilen bağlam, her çalıştırmaya özgü bir yetkilendirme jetonu tutuyordu.
- Ajanın denetimindeki, güvenilmeyen bağlam aynı V8 bellek yığınında çalışıyordu.
- Güvenilmeyen taraf jetonu elde edebiliyor ve yerel ana sürecin yetkili kabul ettiği istekler gönderebiliyordu.
8
15
Ana süreç korumalı alanın dışında çalıştığı için sonuç, Codex görünürde salt-okunur kipteyken dahi komut çalıştırma dâhil ana makine düzeyinde işlemler olabiliyordu. Sorun yalnızca JavaScript çalıştırılması değildi; güvenilen ve güvenilmeyen işi ayıran kimlik bilgisi, güvenilmeyen tarafın erişebildiği bellekte tutuluyordu. 8
15
Overpatch: yama içeriğiyle genişleyen izinler
Overpatch, çalışma alanına yazma kipindeki apply_patch aracını etkileyen bir Codex CLI sorunuydu. Aracın düzenlemeleri çalışma alanıyla sınırlaması beklenirken, yetkilendirme mantığı yamanın kendisinde adı geçen üst dizinlere göre yazma kapsamı veriyordu. 4
Bu da yamadaki yolları güvenlik açısından kritik girdiye dönüştürdü. Accomplish’un kavram kanıtında, aslında etkisiz olan /tmp gibi bir yol dosya sisteminin kök dizinine kadar izin genişlemesine neden olabiliyordu. Yamadaki başka bir değişiklik de depo denetimindeki sembolik bağlantıyı izleyerek çalışma alanı dışındaki bir dosyayı, kullanıcının ana dizinindeki kabuk başlangıç dosyası dâhil, değiştirebiliyordu. 4
9
Etkisi gecikmeli olsa da ciddiydi: Kabuk başlangıç dosyasına eklenen kod, geliştirici daha sonra bir terminal açtığında ajan korumalı alanının dışında çalışabilirdi. Ortaya çıkan ana makine işlemi için olağan onay istemi de gerekmiyordu. 4
7
Ortak sorun: ayrıcalıklı bileşen yanlış şeye güvendi
Heapjack ve Overpatch farklı teknik yollar izlese de aynı tasarım sorununu ortaya koyuyor: Sınırı uygulayan mekanizma, güvenilmeyen tarafın erişebildiği veya etkileyebildiği veriye güveniyordu.
| Sorun | Güvenilen unsur | Sınır neden çöktü? |
|---|---|---|
| Heapjack | Ortak V8 yığınındaki yetkilendirme jetonu | Güvenilmeyen kod, yetkili istekleri ayırmak için kullanılan sırrı elde edebildi. |
| Overpatch | Ajan denetimindeki yamada verilen yollar | Bu yollar yalnızca düzenleme hedefini tarif etmek yerine yazma izninin kapsamını etkiledi. |
Bu, bir confused deputy (yetki karmaşası) problemidir: Daha yüksek ayrıcalığa sahip bir yardımcı ya da yürütme katmanı, daha düşük güven düzeyindeki girdinin adına işlem yapar; fakat yetkiyi veya nihai hedefi güvenli biçimde doğrulamaz. Bu yüzden yalnızca ajanın kabuğunu korumalı alana almak yeterli değildir. Yardımcılar, jetonlar, yapılandırma ve orkestrasyon alt süreçleri ayrıcalıklı kalıyorsa veya depo içeriğinden etkilenebiliyorsa, gerçek güven sınırı aşılabilir.
Git tabanlı ajan kaçışları bu tabloya nasıl uyuyor?
2026’daki diğer kodlama ajanı korumalı alan bulguları teknik olarak farklı olsa da mimari açıdan benzerdi. Accomplish’un Beltdown ve Beltdown2 raporlarında, ajanın kabuğu korumalı alandayken çevresindeki yürütme katmanının dahili Git komutlarını bu alanın dışında çalıştırdığı anlatıldı. Bir deponun .git/config dosyası, Git’in çalışma ağacını incelerken yapılandırılmış bir yardımcıyı çalıştırmasına izin veren core.fsmonitor ayarını kullanabiliyordu. 17
18
Manifold Security bu geniş sınıfı GitSpawn olarak tanımladı: Depo denetimindeki Git yapılandırması, ajan bir projeyi incelerken, anlamlı bir onay veya güven kararı verilmeden önce saldırganın seçtiği kodun çalışmasına yol açabiliyordu. 20
21
Buradan çıkarılacak sonuç, her deponun her iş akışında kendiliğinden tehlikeli olduğu değildir. Asıl nokta, araçlar üst veriyi incelerken, sembolik bağlantıları çözerken, yama uygularken, kancaları çalıştırırken veya yardımcı süreç başlatırken depoların potansiyel olarak etkin girdi kabul edilmesidir. Bir ajan ürününün güven sınırı yalnızca görünür komut aracından ibaret değildir.
Düzeltilen Codex sürümleri
Bildirilen en düşük düzeltilmiş sürümler şunlar:
- Heapjack için Codex Desktop build 26.818.21641 veya sonrası.
9
- Overpatch için Codex CLI 0.149.0 veya sonrası.
4
Accomplish, her iki sorunu da 12 Ağustos 2026’da OpenAI’a bildirdiğini ve düzeltmelerin sekiz gün içinde geldiğini belirtti. 9
Güvenilmeyen bir depoyu açmadan önce ne yapmalı?
- Hem Desktop uygulamasını hem CLI’ı güncelleyin. Sorunlar farklı bileşenleri etkiledi; Desktop’ın yüklediği genel yardımcı, ortak yapılandırmayı kullanan CLI oturumlarını da etkileyebiliyordu.
- Depo içeriğini yalnızca kaynak kod olarak görmeyin. Sembolik bağlantılar, yama yolları, yapılandırma dosyaları, kancalar ve Git üst verisi; ajanın veya yürütme katmanının davranışını etkileyebilir.
20
- Hassas ana makine kaynaklarını ortamdan uzak tutun. Bilinmeyen kodu değerlendirirken uzun ömürlü kimlik bilgilerini, SSH anahtarlarını, bulut erişim jetonlarını, Docker soketlerini veya ana dizindeki hassas dosyaları erişilebilir kılmayın.
- Gerçekten güvenilmeyen projeler için harici yalıtım kullanın. Tek kullanımlık bir sanal makine ya da benzer derecede güçlü bir ortam, ajan, yardımcı veya yürütme katmanı ele geçirilirse ayrı bir sınır sunar.
- Depoların teslim edilme biçimine dikkat edin. GitSpawn tarzı riskler özellikle projenin
.gitüst verisini koruyan bir arşiv, paylaşımlı sürücü, senkronizasyon klasörü veya çıkarılabilir medya üzerinden gelmesi durumunda önem taşır. Normal bircloneişlemi, uzak deponun yerel.git/configdosyasını genellikle taşımaz.22
Pratik sonuç açık: Etkilenen Codex bileşenlerini güncelleyin; ancak tanımadığınız bir depo ile geliştirici iş istasyonu arasındaki tek savunmanın süreç içi bir korumalı alan olduğunu varsaymayın.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Heapjack ve Overpatch, Codex korumalı alanını nasıl aştı?"?
Heapjack ve Overpatch, güvenilmeyen bir depodan gelen içeriğin Codex’in amaçlanan sınırlarını aşarak ana makinede işlem yapılmasına yol açabilirdi; Codex Desktop için en az 26.818.21641, Codex CLI için en az 0.149.0 s...
What are the key points to validate first?
Heapjack ve Overpatch, güvenilmeyen bir depodan gelen içeriğin Codex’in amaçlanan sınırlarını aşarak ana makinede işlem yapılmasına yol açabilirdi; Codex Desktop için en az 26.818.21641, Codex CLI için en az 0.149.0 s... Heapjack, küresel olarak yapılandırılan node repl yardımcısındaki ortak V8 yığınından yetkilendirme jetonunun çıkarılmasına; Overpatch ise saldırganın denetimindeki yama yollarından türetilen yazma izinlerine dayanıyo...
What should I do next in practice?
2026’daki Git yapılandırması temelli benzer kaçışlar teknik olarak farklıydı; ancak hepsinde korumalı alan dışındaki ayrıcalıklı bir yürütme yolu, depo denetimindeki girdiye güvendi.
Sources