Câu trả lờiĐã xuất bản20 nguồn
Heapjack và Overpatch đã thoát sandbox OpenAI Codex như thế nào
Heapjack và Overpatch có thể vượt qua các giới hạn dự kiến của Codex, dẫn tới hành động ở cấp máy chủ từ một kho mã không đáng tin. Heapjack nhắm vào trợ giúp node repl cấu hình toàn cục và heap V8 dùng chung; Overpatch lợi dụng quyền apply patch được tính từ đường dẫn trong bản vá do kẻ tấn công kiểm soát.
Đăng bởiBiên tập bằng GPT-5.6 TerraHình ảnh được tạo bằng GPT Image 2
Câu trả lời nghiên cứu
Bài học chính
- Heapjack và Overpatch có thể vượt qua các giới hạn dự kiến của Codex, dẫn tới hành động ở cấp máy chủ từ một kho mã không đáng tin.
- Heapjack nhắm vào trợ giúp node repl cấu hình toàn cục và heap V8 dùng chung; Overpatch lợi dụng quyền apply patch được tính từ đường dẫn trong bản vá do kẻ tấn công kiểm soát.
- Các vụ thoát sandbox agent liên quan đến cấu hình Git trong năm 2026 khác về kỹ thuật nhưng cùng điểm yếu kiến trúc: một đường điều phối không bị sandbox tôn trọng dữ liệu do kho mã kiểm soát.
Prompt AI
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Accomplish AI researchers’ Heapjack and Overpatch vulnerabilities enable sandbox escapes and host-command execution in OpenAI’s Code. Article summary: Accomplish’s two findings bypassed Codex’s intended workspace/read-only boundaries by making a trusted enforcement component rely on attacker-influenced state. Both could turn an untrusted repository into host-level code. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Sandbox của Codex được thiết kế để giới hạn những gì một tác nhân lập trình AI có thể đọc, ghi và chạy. Tuy nhiên, hai phát hiện mang tên Heapjack và Overpatch của Accomplish AI cho thấy ranh giới này vẫn có thể bị vượt qua khi một thành phần được tin cậy либо chia sẻ bí mật với mã không đáng tin, hoặc mở rộng đặc quyền dựa trên dữ liệu do kẻ tấn công kiểm soát. Cả hai vấn đề đều đã được báo cáo là đã vá. 4
8
Heapjack: bí mật cấp quyền nằm trong heap dùng chung
Heapjack ảnh hưởng đến tích hợp node_repl được Codex Desktop cài đặt. Theo các nhà nghiên cứu, ứng dụng Desktop ghi cấu hình máy chủ MCP vào tệp dùng chung ~/.codex/config.toml; vì vậy, các phiên Codex CLI dùng cấu hình đó cũng có thể kế thừa trợ giúp này. MCP là giao thức để kết nối mô hình AI với công cụ hay dịch vụ bên ngoài. 8
9
Lỗi phân tách then chốt nằm trong môi trường chạy JavaScript của trợ giúp:
- Một ngữ cảnh đáng tin giữ token cấp quyền cho từng lượt chạy.
- Một ngữ cảnh không đáng tin, do tác nhân kiểm soát, chạy trong cùng heap V8.
- Phía không đáng tin có thể lấy lại token rồi dùng nó gửi các yêu cầu mà tiến trình cha gốc coi là đã được cấp quyền.
8
15
Do tiến trình cha đó hoạt động ngoài sandbox, hệ quả có thể là các thao tác ở cấp máy chủ, bao gồm thực thi lệnh, ngay cả khi Codex danh nghĩa ở chế độ chỉ đọc. Vấn đề không đơn thuần là JavaScript được chạy: thông tin xác thực dùng để phân biệt tác vụ đáng tin và không đáng tin lại nằm trong bộ nhớ mà phía không đáng tin có thể truy cập. 8
15
Overpatch: nội dung bản vá làm rộng quyền ghi
Overpatch là lỗi trong apply_patch của Codex CLI ở chế độ cho phép ghi trong workspace. Công cụ lẽ ra phải giới hạn chỉnh sửa trong workspace, nhưng logic cấp quyền lại cấp phạm vi ghi dựa trên các thư mục cha xuất hiện trong chính bản vá. 4
Vì thế, đường dẫn trong bản vá trở thành đầu vào nhạy cảm về bảo mật. Accomplish mô tả một bằng chứng khái niệm, trong đó một đường dẫn vốn không có tác dụng như /tmp khiến phạm vi quyền bị mở rộng tới thư mục gốc của hệ thống tệp. Một thay đổi khác trong bản vá sau đó đi qua symbolic link do kho mã kiểm soát để sửa tệp ngoài workspace, trong đó có thể là tệp khởi động shell trong thư mục home của người dùng. 4
9
Tác động bảo mật có thể xuất hiện muộn nhưng đáng kể: mã được chèn vào tệp khởi động shell có thể chạy ngoài sandbox của agent khi lập trình viên mở terminal vào lần sau. Hành động ở cấp máy chủ này không cần lời nhắc phê duyệt thông thường. 4
7
Điểm chung: thành phần đặc quyền đã tin nhầm thứ
Heapjack và Overpatch dùng hai con đường kỹ thuật khác nhau, nhưng cùng bộc lộ một lỗi thiết kế: cơ chế thực thi ranh giới lại tin vào dữ liệu mà phía không đáng tin có thể chạm tới.
| Vấn đề | Thành phần được tin cậy | Vì sao ranh giới thất bại |
|---|---|---|
| Heapjack | Token cấp quyền trong heap V8 dùng chung | Mã không đáng tin có thể lấy bí mật dùng để phân biệt yêu cầu đáng tin. |
| Overpatch | Đường dẫn do agent đưa vào bản vá | Các đường dẫn này ảnh hưởng đến phạm vi quyền ghi, thay vì chỉ mô tả thao tác sửa mong muốn. |
Đây là dạng lỗi confused deputy: một trợ giúp hoặc bộ điều phối có đặc quyền cao thực hiện hành động thay cho đầu vào có mức tin cậy thấp, nhưng không xác minh an toàn quyền hạn hay đích đến cuối cùng. Vì vậy, chỉ sandbox shell của agent là chưa đủ nếu trợ giúp, token, cấu hình và tiến trình điều phối vẫn có đặc quyền hoặc chịu ảnh hưởng từ nội dung kho mã.
Các vụ thoát sandbox qua Git cũng cùng mô hình
Những phát hiện khác về agent lập trình trong năm 2026 khác về kỹ thuật nhưng tương đồng về kiến trúc. Các báo cáo Beltdown và Beltdown2 của Accomplish cho biết shell của agent bị sandbox, trong khi các lệnh Git nội bộ của bộ điều phối lại chạy bên ngoài sandbox. Tệp .git/config của kho mã có thể dùng thiết lập core.fsmonitor để Git thực thi một trợ giúp đã được cấu hình khi kiểm tra cây làm việc. 17
18
Manifold Security gọi lớp rủi ro rộng hơn này là GitSpawn: cấu hình Git do kho mã kiểm soát có thể khiến mã do kẻ tấn công chọn chạy ngay khi agent kiểm tra dự án, có khả năng trước cả một quyết định phê duyệt hoặc tin cậy có ý nghĩa. 20
21
Bài học không phải là mọi kho mã đều tự động nguy hiểm trong mọi quy trình. Thay vào đó, cần xem kho mã là đầu vào có thể kích hoạt hành vi khi công cụ đọc metadata, phân giải symbolic link, áp dụng bản vá, chạy hook hoặc khởi chạy tiến trình trợ giúp. Ranh giới tin cậy của một sản phẩm agent bao gồm toàn bộ những đường đi đó, chứ không chỉ công cụ chạy lệnh mà người dùng nhìn thấy.
Phiên bản Codex đã vá
Các bản phát hành tối thiểu được báo cáo là đã khắc phục gồm:
- Codex Desktop bản dựng 26.818.21641 trở lên cho Heapjack.
9
- Codex CLI phiên bản 0.149.0 trở lên cho Overpatch.
4
Accomplish cho biết họ đã báo cáo cả hai lỗi cho OpenAI ngày 12/8/2026 và các bản vá được phát hành trong vòng 8 ngày. 9
Nên làm gì trước khi mở một kho mã không đáng tin
- Cập nhật cả ứng dụng Desktop lẫn CLI. Hai lỗi tác động đến các thành phần khác nhau; trợ giúp toàn cục do Desktop cài có thể ảnh hưởng đến các phiên CLI dùng cấu hình chung.
- Đừng xem nội dung kho mã chỉ là mã nguồn. Symbolic link, đường dẫn bản vá, tệp cấu hình, hook và metadata Git đều có thể tác động đến hành vi của agent hoặc bộ điều phối.
20
- Không đặt tài nguyên máy chủ nhạy cảm trong môi trường đó. Tránh để lộ thông tin xác thực dài hạn, khóa SSH, token đám mây, Docker socket hoặc các tệp nhạy cảm trong thư mục home khi đánh giá mã chưa rõ nguồn gốc.
- Dùng cô lập bên ngoài cho dự án thực sự không đáng tin. Máy ảo dùng một lần hoặc môi trường cô lập mạnh tương tự tạo ra một ranh giới độc lập nếu agent, trợ giúp hoặc bộ điều phối bị xâm phạm.
- Thận trọng với kho mã được chuyển nguyên trạng. Rủi ro kiểu GitSpawn đặc biệt đáng lưu ý khi dự án đến từ tệp nén, ổ đĩa chia sẻ, thư mục đồng bộ hoặc thiết bị lưu trữ rời giữ nguyên metadata
.git; một lầngit clonethông thường không chuyển tệp.git/configcục bộ của kho mã từ xa.22
Kết luận thực tế rất đơn giản: hãy vá các thành phần Codex bị ảnh hưởng, nhưng đừng coi sandbox trong cùng tiến trình là lớp kiểm soát duy nhất ngăn cách một kho mã lạ với máy làm việc của lập trình viên.
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Người ta cũng hỏi
Câu trả lời ngắn gọn cho "Heapjack và Overpatch đã thoát sandbox OpenAI Codex như thế nào" là gì?
Heapjack và Overpatch có thể vượt qua các giới hạn dự kiến của Codex, dẫn tới hành động ở cấp máy chủ từ một kho mã không đáng tin.
Những điểm chính cần xác nhận đầu tiên là gì?
Heapjack và Overpatch có thể vượt qua các giới hạn dự kiến của Codex, dẫn tới hành động ở cấp máy chủ từ một kho mã không đáng tin. Heapjack nhắm vào trợ giúp node repl cấu hình toàn cục và heap V8 dùng chung; Overpatch lợi dụng quyền apply patch được tính từ đường dẫn trong bản vá do kẻ tấn công kiểm soát.
Tôi nên làm gì tiếp theo trong thực tế?
Các vụ thoát sandbox agent liên quan đến cấu hình Git trong năm 2026 khác về kỹ thuật nhưng cùng điểm yếu kiến trúc: một đường điều phối không bị sandbox tôn trọng dữ liệu do kho mã kiểm soát.
Nguồn