Codex 嘅沙盒本來係想限制 AI 編碼代理可以讀、寫同執行乜嘢。不過，Accomplish AI 發現嘅 Heapjack 同 Overpatch 顯示：只要一個受信任元件向不受信任程式碼分享咗秘密，或者按攻擊者可控制嘅輸入去授予權限，隔離界線仍然可以被繞過。兩個問題都已經回報並修補。 48

兩個漏洞，實際上點樣突破界線？

Heapjack：授權 token 放咗喺共用 heap

Heapjack 影響 Codex Desktop 安裝嘅 node_repl 整合。研究人員指出，Desktop app 將 MCP server 設定放入全域 ~/.codex/config.toml；即係話，使用同一份共用設定嘅 CLI 工作階段，亦可能承接到呢個輔助工具。 89

關鍵問題喺 JavaScript runtime 嘅分隔做得唔夠：

• 受信任 context 保存咗每次執行用嘅授權 token；
• 由代理控制、屬於不受信任嘅 context，喺同一個 V8 heap 裏執行；
• 不受信任一方可以取回該 token，再用佢發出會被原生父程序視為已授權嘅請求。 815

由於嗰個父程序喺沙盒以外運行，結果可以造成主機層級操作，包括執行指令——即使 Codex 表面上處於唯讀模式亦一樣。問題唔係「JavaScript 有得跑」咁簡單，而係用嚟區分受信任與不受信任工作嘅憑證，放咗喺後者可以讀取到嘅記憶體內。 815

Overpatch：補丁內容反過來決定咗權限範圍

Overpatch 係 Codex CLI 喺 workspace-write 模式下 apply_patch 工具嘅問題。理論上，工具應該將修改限制喺 workspace 內；但佢嘅授權邏輯卻按補丁內列出嘅父目錄去授予寫入範圍。 4

換句話講，補丁所寫嘅路徑變成咗安全敏感輸入。Accomplish 展示嘅概念驗證中，一個本身無效嘅 /tmp 路徑，可以令權限擴大到檔案系統根目錄；另一個補丁改動就經由 repository 控制嘅符號連結（symlink），修改 workspace 以外嘅檔案，包括用戶家目錄內嘅 shell 啟動設定檔。 49

風險未必即刻爆發，但後果可以好嚴重：如果 shell 啟動檔被加入程式碼，開發者之後再開 Terminal 時，程式碼就可能喺代理沙盒以外執行。相關主機操作亦毋須經一般嘅批准提示。 47

共同根源：高權限元件信錯咗嘢

Heapjack 同 Overpatch 技術路徑唔同，但揭示咗同一類設計失誤：負責執行限制嘅機制，信任咗不受信任一方可以接觸或操控嘅資料。

問題	被信任嘅資料	點解隔離會失效
Heapjack	存喺共用 V8 heap 入面嘅授權 token	不受信任程式碼可以取回用嚟辨別受信任請求嘅秘密。 815
Overpatch	由代理控制嘅補丁所提供嘅路徑	路徑不只描述想改邊個檔案，仲影響到寫入權限嘅範圍。 4

呢類情況可視為「混淆代理人」（confused deputy）問題：有較高權限嘅 helper 或 harness，代表低信任輸入做事，但無妥善核實其權限或者最終目標。

所以，只係將代理用嘅 shell 沙盒化並不足夠。只要 helper、token、設定檔，或者編排工作嘅子程序仍然有較高權限，或者會受 repository 內容影響，整條信任鏈就可能有破口。

Git 相關逃逸：手法不同，架構問題相近

2026 年其他 AI 編碼代理沙盒漏洞，亦有類似架構問題。Accomplish 發表嘅 Beltdown 同 Beltdown2 指出，代理所用 shell 雖然被沙盒包住，但外圍 harness 內部執行嘅 Git 指令並無放入沙盒。repository 嘅 .git/config 可以設定 Git 嘅 core.fsmonitor；Git 檢查工作目錄時，便可能執行指定 helper。 1718

Manifold Security 將呢個廣泛漏洞類別稱為 GitSpawn：由 repository 控制嘅 Git 設定，可以喺代理檢查專案時令攻擊者指定嘅程式碼執行，甚至發生喺有意義嘅批准或信任決定之前。 2021

重點唔係每一個 repository 喺每種流程下都必然危險，而係工具喺讀取 metadata、解析 symlink、套用補丁、執行 hooks 或啟動 helper 時，都要將 repository 視為可能具主動行為嘅輸入。AI 編碼代理嘅信任邊界，唔止係畫面上見到嘅指令工具，仲包括以上所有處理路徑。

已修補嘅 Codex 版本

報告列出嘅最低修補版本如下：

• Codex Desktop build 26.818.21641 或以上：修補 Heapjack。 89
• Codex CLI 0.149.0 或以上：修補 Overpatch。 48

Accomplish 表示，兩個問題喺 2026 年 8 月 12 日回報畀 OpenAI，修補喺八日內推出。 9

開啟不受信任 repository 前，應該做乜？

1. Desktop 同 CLI 都要更新。 兩個漏洞影響嘅組件不同；Desktop 安裝嘅全域 helper，亦可能影響使用共用設定嘅 CLI 工作階段。 89
2. 唔好只當 repository 係原始碼。 Symlink、補丁路徑、設定檔、hooks 同 Git metadata 都有機會改變代理或 harness 嘅行為。 420
3. 唔好將敏感主機資源暴露畀未知專案。 評估陌生程式碼時，避免提供長期憑證、SSH key、雲端 token、Docker socket，或者家目錄內敏感檔案。
4. 真正不受信任嘅專案，應用外部隔離。 用一次性 VM 或同等強度嘅隔離環境；一旦代理、helper 或 harness 被攻陷，呢層獨立邊界先至較可靠。
5. 特別留意完整交付過嚟嘅 repository。 GitSpawn 類風險尤其值得注意：壓縮檔、共享磁碟、同步資料夾或移動儲存裝置，都可能保留 .git metadata；正常 git clone 一般唔會傳送遠端 repository 嘅本機 .git/config。 22

最實際嘅結論好直接：更新受影響嘅 Codex 組件，但唔好將 in-process 沙盒當成陌生 repository 與開發者工作站之間唯一一道防線。

Codex 嘅沙盒本來係想限制 AI 編碼代理可以讀、寫同執行乜嘢。不過，Accomplish AI 發現嘅 Heapjack 同 Overpatch 顯示：只要一個受信任元件向不受信任程式碼分享咗秘密，或者按攻擊者可控制嘅輸入去授予權限，隔離界線仍然可以被繞過。兩個問題都已經回報並修補。 48

兩個漏洞，實際上點樣突破界線？

Heapjack：授權 token 放咗喺共用 heap

Heapjack 影響 Codex Desktop 安裝嘅 node_repl 整合。研究人員指出，Desktop app 將 MCP server 設定放入全域 ~/.codex/config.toml；即係話，使用同一份共用設定嘅 CLI 工作階段，亦可能承接到呢個輔助工具。 89

關鍵問題喺 JavaScript runtime 嘅分隔做得唔夠：

• 受信任 context 保存咗每次執行用嘅授權 token；
• 由代理控制、屬於不受信任嘅 context，喺同一個 V8 heap 裏執行；
• 不受信任一方可以取回該 token，再用佢發出會被原生父程序視為已授權嘅請求。 815

由於嗰個父程序喺沙盒以外運行，結果可以造成主機層級操作，包括執行指令——即使 Codex 表面上處於唯讀模式亦一樣。問題唔係「JavaScript 有得跑」咁簡單，而係用嚟區分受信任與不受信任工作嘅憑證，放咗喺後者可以讀取到嘅記憶體內。 815

Overpatch：補丁內容反過來決定咗權限範圍

Overpatch 係 Codex CLI 喺 workspace-write 模式下 apply_patch 工具嘅問題。理論上，工具應該將修改限制喺 workspace 內；但佢嘅授權邏輯卻按補丁內列出嘅父目錄去授予寫入範圍。 4

換句話講，補丁所寫嘅路徑變成咗安全敏感輸入。Accomplish 展示嘅概念驗證中，一個本身無效嘅 /tmp 路徑，可以令權限擴大到檔案系統根目錄；另一個補丁改動就經由 repository 控制嘅符號連結（symlink），修改 workspace 以外嘅檔案，包括用戶家目錄內嘅 shell 啟動設定檔。 49

風險未必即刻爆發，但後果可以好嚴重：如果 shell 啟動檔被加入程式碼，開發者之後再開 Terminal 時，程式碼就可能喺代理沙盒以外執行。相關主機操作亦毋須經一般嘅批准提示。 47

共同根源：高權限元件信錯咗嘢

Heapjack 同 Overpatch 技術路徑唔同，但揭示咗同一類設計失誤：負責執行限制嘅機制，信任咗不受信任一方可以接觸或操控嘅資料。

問題	被信任嘅資料	點解隔離會失效
Heapjack	存喺共用 V8 heap 入面嘅授權 token	不受信任程式碼可以取回用嚟辨別受信任請求嘅秘密。 815
Overpatch	由代理控制嘅補丁所提供嘅路徑	路徑不只描述想改邊個檔案，仲影響到寫入權限嘅範圍。 4

呢類情況可視為「混淆代理人」（confused deputy）問題：有較高權限嘅 helper 或 harness，代表低信任輸入做事，但無妥善核實其權限或者最終目標。

所以，只係將代理用嘅 shell 沙盒化並不足夠。只要 helper、token、設定檔，或者編排工作嘅子程序仍然有較高權限，或者會受 repository 內容影響，整條信任鏈就可能有破口。

Git 相關逃逸：手法不同，架構問題相近

2026 年其他 AI 編碼代理沙盒漏洞，亦有類似架構問題。Accomplish 發表嘅 Beltdown 同 Beltdown2 指出，代理所用 shell 雖然被沙盒包住，但外圍 harness 內部執行嘅 Git 指令並無放入沙盒。repository 嘅 .git/config 可以設定 Git 嘅 core.fsmonitor；Git 檢查工作目錄時，便可能執行指定 helper。 1718

Manifold Security 將呢個廣泛漏洞類別稱為 GitSpawn：由 repository 控制嘅 Git 設定，可以喺代理檢查專案時令攻擊者指定嘅程式碼執行，甚至發生喺有意義嘅批准或信任決定之前。 2021

重點唔係每一個 repository 喺每種流程下都必然危險，而係工具喺讀取 metadata、解析 symlink、套用補丁、執行 hooks 或啟動 helper 時，都要將 repository 視為可能具主動行為嘅輸入。AI 編碼代理嘅信任邊界，唔止係畫面上見到嘅指令工具，仲包括以上所有處理路徑。

已修補嘅 Codex 版本

報告列出嘅最低修補版本如下：

• Codex Desktop build 26.818.21641 或以上：修補 Heapjack。 89
• Codex CLI 0.149.0 或以上：修補 Overpatch。 48

Accomplish 表示，兩個問題喺 2026 年 8 月 12 日回報畀 OpenAI，修補喺八日內推出。 9

開啟不受信任 repository 前，應該做乜？

1. Desktop 同 CLI 都要更新。 兩個漏洞影響嘅組件不同；Desktop 安裝嘅全域 helper，亦可能影響使用共用設定嘅 CLI 工作階段。 89
2. 唔好只當 repository 係原始碼。 Symlink、補丁路徑、設定檔、hooks 同 Git metadata 都有機會改變代理或 harness 嘅行為。 420
3. 唔好將敏感主機資源暴露畀未知專案。 評估陌生程式碼時，避免提供長期憑證、SSH key、雲端 token、Docker socket，或者家目錄內敏感檔案。
4. 真正不受信任嘅專案，應用外部隔離。 用一次性 VM 或同等強度嘅隔離環境；一旦代理、helper 或 harness 被攻陷，呢層獨立邊界先至較可靠。
5. 特別留意完整交付過嚟嘅 repository。 GitSpawn 類風險尤其值得注意：壓縮檔、共享磁碟、同步資料夾或移動儲存裝置，都可能保留 .git metadata；正常 git clone 一般唔會傳送遠端 repository 嘅本機 .git/config。 22

最實際嘅結論好直接：更新受影響嘅 Codex 組件，但唔好將 in-process 沙盒當成陌生 repository 與開發者工作站之間唯一一道防線。