答案已发布17 来源
Heapjack 与 Overpatch：恶意代码仓库如何越过 Codex 沙箱
Heapjack 可使检查恶意代码仓库的操作在只读模式下触发沙箱外命令执行；Overpatch 则可让 Codex CLI 无须弹出批准提示，就把文件写到工作区之外。[2][6] 分别检查并升级 Codex Desktop 至 26.818.21641 或更高构建版本、Codex CLI 至 0.149.0 或更高版本；处理不可信仓库时，不要只依赖只读模式。[1][2][7]
发布者使用 GPT-6 Sol 编辑图片由 GPT Image 2 生成
研究答案
要点
- Heapjack 可使检查恶意代码仓库的操作在只读模式下触发沙箱外命令执行；Overpatch 则可让 Codex CLI 无须弹出批准提示，就把文件写到工作区之外。[2][6]
- 分别检查并升级 Codex Desktop 至 26.818.21641 或更高构建版本、Codex CLI 至 0.149.0 或更高版本；处理不可信仓库时，不要只依赖只读模式。[1][2][7]
AI 提示
openai.comCreate a landscape editorial hero image for this Studio Global article: How did the Heapjack and Overpatch vulnerabilities discovered by Accomplish AI researchers let a malicious repository escape OpenAI Codex’s. Article summary: Accomplish AI found two ways for content in an untrusted repository to cross Codex’s sandbox boundary. Heapjack could lead to unsandboxed command execution even in read-only mode; Overpatch could make Codex write outside. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
让 Codex 查看一个陌生代码仓库，并不等于只把仓库内容当作资料来读。Accomplish AI 发现，攻击者可控制的仓库内容能够借助 Codex 的高权限辅助工具，越过原本应限制其行为的沙箱。研究人员将两条不同的攻击路径命名为 Heapjack 和 Overpatch：前者甚至影响只读模式，后者则突破了工作区的写入范围。2
6
Heapjack：只读模式下为何还能执行命令？
Heapjack 针对的是 node_repl，一个由 Codex Desktop 安装的 JavaScript 辅助工具。它写入共享配置后，也可能被 Codex CLI 会话使用。该工具让可信与不可信的 JavaScript 在不同执行上下文中运行，但它们仍处于同一个 Node.js 进程，并共享内存堆。研究人员发现，不可信代码可以从内存中找出用于识别可信代码的秘密凭证，进而借用可信身份，在开发者的电脑上执行不受沙箱约束的命令。8
19
这意味着，“只读”限制并未封住这条路径。在研究人员描述的场景中，开发者只是让 Codex 检查一个恶意仓库，也可能使自己的电脑暴露于风险，即使当前会话本不应写入文件。2
7
Overpatch：补丁写出了项目目录
Overpatch 影响 Codex CLI 在 workspace-write（工作区可写）模式下的 apply_patch 文件修改路径。特制补丁可以让该工具在不弹出批准提示的情况下，写入获准项目目录之外的文件。2
6
它与 Heapjack 的结果需要区分：Overpatch 直接突破的是写入范围，并非立即执行沙箱外命令。不过，写入工作区外的文件可能为后续命令执行创造条件，例如修改用户的 shell 启动文件。2
6
9
共同问题与应对办法
两项漏洞都发生在同一道信任边界上：受攻击者影响的输入到达了拥有更高权限的辅助工具，而工具自身的检查未能有效隔开不可信输入与宿主机权限。Heapjack 破坏了工具区分可信与不可信代码的机制；Overpatch 绕过了补丁工具的写入位置限制。因此，原有的只读和工作区可写设置，都未能挡住对应的攻击路径。2
8
9
Accomplish AI 称，已于 2026 年 8 月 12 日向 OpenAI 报告这两项漏洞，且两者均在八天内得到修复。Heapjack 对应的修复版本是 Codex Desktop 构建版本 26.818.21641，Overpatch 对应的是 Codex CLI 0.149.0。如果两者都在使用，应分别检查并升级；Desktop 安装的辅助工具也可能出现在 CLI 会话中。检查不可信代码仓库时，尤其是在尚未升级的情况下，不要把只读模式当作充分隔离措施，应使用隔离环境。1
2
7
8
Studio Global AI
继续你的研究
此页面包含一个有来源支持的答案，您可以在 Studio Global 内继续。
人们还问
“Heapjack 与 Overpatch：恶意代码仓库如何越过 Codex 沙箱”的简短答案是什么？
Heapjack 可使检查恶意代码仓库的操作在只读模式下触发沙箱外命令执行；Overpatch 则可让 Codex CLI 无须弹出批准提示，就把文件写到工作区之外。[2][6]
首先要验证的关键点是什么？
Heapjack 可使检查恶意代码仓库的操作在只读模式下触发沙箱外命令执行；Overpatch 则可让 Codex CLI 无须弹出批准提示，就把文件写到工作区之外。[2][6] 分别检查并升级 Codex Desktop 至 26.818.21641 或更高构建版本、Codex CLI 至 0.149.0 或更高版本；处理不可信仓库时，不要只依赖只读模式。[1][2][7]