Heapjack và Overpatch đã vượt sandbox Codex như thế nào?

Điểm đáng chú ý của hai lỗ hổng này là người dùng không nhất thiết phải bấm chấp thuận một lệnh nguy hiểm. Theo nghiên cứu của Accomplish AI, nội dung trong một kho mã do kẻ tấn công kiểm soát có thể đi tới những công cụ của Codex có quyền hạn cao hơn bản thân kho mã đó. Heapjack có thể dẫn đến chạy lệnh trên máy lập trình viên từ chế độ chỉ đọc; Overpatch cho phép ghi tệp vượt ra ngoài phạm vi dự án được phép. 26

Heapjack: Vì sao “chỉ đọc” vẫn chưa đủ?

Heapjack nhắm vào node_repl, công cụ JavaScript do Codex Desktop cài đặt và có thể được các phiên Codex CLI sử dụng thông qua cấu hình chung. Mã JavaScript đáng tin cậy và không đáng tin cậy chạy trong các ngữ cảnh riêng, nhưng cùng nằm trong một tiến trình Node.js và dùng chung vùng nhớ. Các nhà nghiên cứu phát hiện mã không đáng tin cậy có thể tìm được mã bí mật trong bộ nhớ dùng để nhận diện phía đáng tin cậy, rồi mượn quyền đó để kích hoạt lệnh ngoài sandbox trên máy của lập trình viên. 819

Vì vậy, trong kịch bản mà nhóm nghiên cứu mô tả, chỉ yêu cầu Codex xem xét một kho mã độc hại cũng có thể khiến máy của người dùng gặp rủi ro, dù phiên làm việc đang ở chế độ read-only — chế độ không được phép ghi tệp. 27

Overpatch: Ghi tệp vượt khỏi thư mục dự án

Overpatch nằm ở đường xử lý apply_patch của Codex CLI. Trong chế độ workspace-write, Codex được phép sửa tệp trong thư mục dự án; tuy nhiên, một bản vá được tạo theo cách đặc biệt có thể khiến công cụ ghi ra ngoài phạm vi đó mà không hiện yêu cầu phê duyệt. Đây không phải cùng cơ chế với việc Heapjack trực tiếp kích hoạt lệnh ngoài sandbox. Dù vậy, ghi được vào tệp bên ngoài dự án — chẳng hạn tệp được nạp khi mở shell — có thể tạo đường dẫn đến việc chạy lệnh về sau. 269

Điểm chung và việc cần làm

Cả hai trường hợp đều cho thấy rủi ro khi dữ liệu chịu ảnh hưởng của kẻ tấn công đi vào một công cụ có quyền cao hơn, trong khi chính công cụ đó được trông cậy để giữ ranh giới an toàn. Heapjack phá vỡ sự phân biệt giữa mã đáng tin cậy và không đáng tin cậy; Overpatch vượt qua giới hạn vị trí ghi tệp. Các thiết lập read-only và workspace-write đã không chặn được những đường tấn công tương ứng này. 289

Accomplish AI cho biết đã báo cáo cả hai lỗ hổng cho OpenAI vào ngày 12/8/2026 và chúng được khắc phục trong vòng tám ngày. Phiên bản chứa bản vá được xác định là Codex Desktop build 26.818.21641 cho Heapjack và Codex CLI 0.149.0 cho Overpatch. Nếu dùng cả hai, hãy kiểm tra và cập nhật từng ứng dụng: công cụ do Desktop cài đặt cũng có thể hiện diện trong phiên CLI. Khi xem xét kho mã không đáng tin cậy, đừng coi riêng chế độ chỉ đọc là biện pháp cách ly; hãy dùng môi trường cách ly, nhất là nếu chưa cập nhật. 1278