Codex 的沙箱原本用于限制 AI 编程代理能够读取、写入和运行的内容。但 Accomplish AI 披露的 Heapjack 与 Overpatch 表明：如果受信任的组件把秘密暴露给不可信代码，或根据攻击者可控的输入授予权限，沙箱边界仍可能被绕过。两项问题均已报告并完成修复。48

对开发者而言，风险不只是“代理在项目里改错了代码”。在特定条件下，恶意仓库可能诱导工具链改写主机文件，或触发沙箱外的操作。

Heapjack：共享 V8 堆中的授权秘密

Heapjack 影响的是 Codex Desktop 安装的 node_repl 集成。研究人员称，Desktop 应用会将其 MCP 服务器配置写入全局的 ~/.codex/config.toml；因此，使用同一共享配置的 Codex CLI 会话也可能继承这一辅助组件。89

问题的关键在于该辅助组件内部的 JavaScript 运行时隔离：

• 受信任上下文持有一次运行对应的授权令牌；
• 由代理控制的不可信上下文运行在同一个 V8 堆中；
• 不可信一侧可恢复该令牌，并用它发起会被原生父进程视为已授权的请求。815

该父进程运行在沙箱之外。因此，攻击最终可能造成主机级操作，包括命令执行；即使 Codex 名义上处于只读模式，也可能受到影响。问题不在于“运行了 JavaScript”本身，而在于用于区分可信与不可信请求的凭据，存放在不可信一侧可访问的内存中。815

Overpatch：补丁内容反过来扩大权限

Overpatch 是 Codex CLI 在工作区写入模式下 apply_patch 工具的漏洞。该工具本应把编辑限制在工作区内，但其授权逻辑会依据补丁中写出的父目录来授予写入范围。4

这使补丁内的路径成为安全敏感输入。Accomplish 的概念验证显示，一个本身看似无效的路径，例如 /tmp，可让权限范围扩大至文件系统根目录。随后，另一处补丁改动可沿着仓库控制的符号链接，修改工作区外的文件，其中包括用户主目录里的 Shell 启动文件。49

其后果可能是延迟触发的：写入 Shell 启动文件的代码，会在开发者之后打开终端时于代理沙箱外执行；相应的主机操作并不需要通常的批准提示。47

两个漏洞的共同点：高权限组件信任了错误对象

Heapjack 与 Overpatch 的技术路径不同，但都暴露了相同的设计问题：执行权限校验的机制，信任了边界内不可信一侧能够接触或影响的数据。

问题	被信任的对象	边界为何失效
Heapjack	位于共享 V8 堆中的授权令牌	不可信代码能够恢复用于识别可信请求的秘密。815
Overpatch	由代理控制的补丁内路径	这些路径不只是描述预期编辑位置，还影响了写权限范围。4

这类问题可视为“混淆代理”（confused deputy）：一个权限更高的辅助组件或执行框架，代表低信任输入执行操作，却没有可靠地验证其授权范围或最终目标。

因此，只把代理的 Shell 工具放进沙箱并不够。如果辅助程序、令牌、配置或编排子进程仍具备更高权限，且会受仓库内容影响，那么它们同样属于实际的信任边界。

Git 相关逃逸为何也属于同一模式

2026 年披露的其他编码代理沙箱问题，在技术细节上不完全相同，但架构模式类似。Accomplish 的 Beltdown 和 Beltdown2 报告指出：代理 Shell 虽然受沙箱限制，外层执行框架调用的内部 Git 命令却可能在沙箱外运行。仓库的 .git/config 可通过 Git 的 core.fsmonitor 设置，让 Git 在检查工作树时执行指定的辅助程序。1718

Manifold Security 将这类问题概括为 GitSpawn：仓库可控的 Git 配置可能让攻击者选定的代码在代理检查项目时被执行，甚至发生在有意义的批准或信任决策之前。2021

这并不意味着每个仓库、每种工作流程都会自动构成风险。真正的教训是：当工具读取元数据、解析符号链接、应用补丁、运行钩子或启动辅助进程时，仓库不应被当作纯文本源码。产品的信任边界应覆盖这些完整路径，而不只是用户看得见的命令执行工具。

已修复的 Codex 版本

报告所列出的最低修复版本为：

• Codex Desktop 26.818.21641 或更高版本：修复 Heapjack。89
• Codex CLI 0.149.0 或更高版本：修复 Overpatch。48

Accomplish 表示，两项问题于 2026 年 8 月 12 日报告给 OpenAI，修复在八天内完成。9

打开不可信仓库前，建议这样做

1. Desktop 和 CLI 都要更新。 两个问题影响的是不同组件；而 Desktop 安装的全局辅助组件可能影响使用共享配置的 CLI 会话。89
2. 不要把仓库内容只当成源代码。 符号链接、补丁路径、配置文件、钩子和 Git 元数据，都可能影响代理或其执行框架的行为。420
3. 避免向未知项目暴露敏感主机资源。 不要让长期凭据、SSH 密钥、云访问令牌、Docker 套接字或敏感的主目录文件处于可访问状态。
4. 对于真正不可信的项目，采用外部隔离。 一次性虚拟机或同等强度的隔离环境，能提供独立边界；若代理、辅助组件或执行框架被攻破，进程内沙箱不应被视为唯一防线。
5. 特别留意“原样交付”的仓库。 若项目通过压缩包、共享盘、同步目录或移动存储介质传递，并保留了 .git 元数据，GitSpawn 类风险尤其值得关注；普通 git clone 通常不会带来远程仓库本地的 .git/config。22

结论很直接：升级受影响的 Codex 组件是必要步骤，但面对陌生仓库时，不能只依赖进程内沙箱来保护开发者工作站。

Codex 的沙箱原本用于限制 AI 编程代理能够读取、写入和运行的内容。但 Accomplish AI 披露的 Heapjack 与 Overpatch 表明：如果受信任的组件把秘密暴露给不可信代码，或根据攻击者可控的输入授予权限，沙箱边界仍可能被绕过。两项问题均已报告并完成修复。48

对开发者而言，风险不只是“代理在项目里改错了代码”。在特定条件下，恶意仓库可能诱导工具链改写主机文件，或触发沙箱外的操作。

Heapjack：共享 V8 堆中的授权秘密

Heapjack 影响的是 Codex Desktop 安装的 node_repl 集成。研究人员称，Desktop 应用会将其 MCP 服务器配置写入全局的 ~/.codex/config.toml；因此，使用同一共享配置的 Codex CLI 会话也可能继承这一辅助组件。89

问题的关键在于该辅助组件内部的 JavaScript 运行时隔离：

• 受信任上下文持有一次运行对应的授权令牌；
• 由代理控制的不可信上下文运行在同一个 V8 堆中；
• 不可信一侧可恢复该令牌，并用它发起会被原生父进程视为已授权的请求。815

该父进程运行在沙箱之外。因此，攻击最终可能造成主机级操作，包括命令执行；即使 Codex 名义上处于只读模式，也可能受到影响。问题不在于“运行了 JavaScript”本身，而在于用于区分可信与不可信请求的凭据，存放在不可信一侧可访问的内存中。815

Overpatch：补丁内容反过来扩大权限

Overpatch 是 Codex CLI 在工作区写入模式下 apply_patch 工具的漏洞。该工具本应把编辑限制在工作区内，但其授权逻辑会依据补丁中写出的父目录来授予写入范围。4

这使补丁内的路径成为安全敏感输入。Accomplish 的概念验证显示，一个本身看似无效的路径，例如 /tmp，可让权限范围扩大至文件系统根目录。随后，另一处补丁改动可沿着仓库控制的符号链接，修改工作区外的文件，其中包括用户主目录里的 Shell 启动文件。49

其后果可能是延迟触发的：写入 Shell 启动文件的代码，会在开发者之后打开终端时于代理沙箱外执行；相应的主机操作并不需要通常的批准提示。47

两个漏洞的共同点：高权限组件信任了错误对象

Heapjack 与 Overpatch 的技术路径不同，但都暴露了相同的设计问题：执行权限校验的机制，信任了边界内不可信一侧能够接触或影响的数据。

问题	被信任的对象	边界为何失效
Heapjack	位于共享 V8 堆中的授权令牌	不可信代码能够恢复用于识别可信请求的秘密。815
Overpatch	由代理控制的补丁内路径	这些路径不只是描述预期编辑位置，还影响了写权限范围。4

这类问题可视为“混淆代理”（confused deputy）：一个权限更高的辅助组件或执行框架，代表低信任输入执行操作，却没有可靠地验证其授权范围或最终目标。

因此，只把代理的 Shell 工具放进沙箱并不够。如果辅助程序、令牌、配置或编排子进程仍具备更高权限，且会受仓库内容影响，那么它们同样属于实际的信任边界。

Git 相关逃逸为何也属于同一模式

2026 年披露的其他编码代理沙箱问题，在技术细节上不完全相同，但架构模式类似。Accomplish 的 Beltdown 和 Beltdown2 报告指出：代理 Shell 虽然受沙箱限制，外层执行框架调用的内部 Git 命令却可能在沙箱外运行。仓库的 .git/config 可通过 Git 的 core.fsmonitor 设置，让 Git 在检查工作树时执行指定的辅助程序。1718

Manifold Security 将这类问题概括为 GitSpawn：仓库可控的 Git 配置可能让攻击者选定的代码在代理检查项目时被执行，甚至发生在有意义的批准或信任决策之前。2021

这并不意味着每个仓库、每种工作流程都会自动构成风险。真正的教训是：当工具读取元数据、解析符号链接、应用补丁、运行钩子或启动辅助进程时，仓库不应被当作纯文本源码。产品的信任边界应覆盖这些完整路径，而不只是用户看得见的命令执行工具。

已修复的 Codex 版本

报告所列出的最低修复版本为：

• Codex Desktop 26.818.21641 或更高版本：修复 Heapjack。89
• Codex CLI 0.149.0 或更高版本：修复 Overpatch。48

Accomplish 表示，两项问题于 2026 年 8 月 12 日报告给 OpenAI，修复在八天内完成。9

打开不可信仓库前，建议这样做

1. Desktop 和 CLI 都要更新。 两个问题影响的是不同组件；而 Desktop 安装的全局辅助组件可能影响使用共享配置的 CLI 会话。89
2. 不要把仓库内容只当成源代码。 符号链接、补丁路径、配置文件、钩子和 Git 元数据，都可能影响代理或其执行框架的行为。420
3. 避免向未知项目暴露敏感主机资源。 不要让长期凭据、SSH 密钥、云访问令牌、Docker 套接字或敏感的主目录文件处于可访问状态。
4. 对于真正不可信的项目，采用外部隔离。 一次性虚拟机或同等强度的隔离环境，能提供独立边界；若代理、辅助组件或执行框架被攻破，进程内沙箱不应被视为唯一防线。
5. 特别留意“原样交付”的仓库。 若项目通过压缩包、共享盘、同步目录或移动存储介质传递，并保留了 .git 元数据，GitSpawn 类风险尤其值得关注；普通 git clone 通常不会带来远程仓库本地的 .git/config。22

结论很直接：升级受影响的 Codex 组件是必要步骤，但面对陌生仓库时，不能只依赖进程内沙箱来保护开发者工作站。