答案已發布17 來源
Codex 開住唯讀都未必安全：Heapjack 與 Overpatch 點樣突破沙盒
Heapjack 可令 Codex 在唯讀模式檢查惡意程式庫時，於開發者電腦上執行未受沙盒限制的指令；Overpatch 則可令 CLI 在毋須批准下，把檔案寫到指定工作目錄以外。[2][6] 修補版本分別是 Codex Desktop build 26.818.21641 及 Codex CLI 0.149.0；如果兩者都有用，應分開檢查並更新。[1][7][8]
發布者使用 GPT-6 Sol 編輯圖片由 GPT Image 2 生成
研究答案
重點
- Heapjack 可令 Codex 在唯讀模式檢查惡意程式庫時，於開發者電腦上執行未受沙盒限制的指令；Overpatch 則可令 CLI 在毋須批准下，把檔案寫到指定工作目錄以外。[2][6]
- 修補版本分別是 Codex Desktop build 26.818.21641 及 Codex CLI 0.149.0；如果兩者都有用，應分開檢查並更新。[1][7][8]
AI 提示
openai.comCreate a landscape editorial hero image for this Studio Global article: How did the Heapjack and Overpatch vulnerabilities discovered by Accomplish AI researchers let a malicious repository escape OpenAI Codex’s. Article summary: Accomplish AI found two ways for content in an untrusted repository to cross Codex’s sandbox boundary. Heapjack could lead to unsandboxed command execution even in read-only mode; Overpatch could make Codex write outside. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
叫 Codex「只睇唔改」，是否就可以放心檢查陌生人的程式庫？Accomplish AI 發現的兩個漏洞顯示，答案不能單靠唯讀設定決定：攻擊者可藉由受其控制的程式庫內容，觸及權限高於該程式庫的 Codex 輔助工具。Heapjack 可由唯讀模式走到開發者電腦，執行未受沙盒限制的指令；Overpatch 則可繞過專案目錄的寫入界線。兩條路徑不同，都不需要開發者批准相關操作。2
6
Heapjack：為何「唯讀」擋不住？
Heapjack 針對的是 Codex Desktop 安裝的 JavaScript 輔助工具 node_repl；由於它透過共用設定提供，Codex CLI 工作階段也可能用到。工具雖然把可信與不可信的 JavaScript 放在不同執行環境，兩者卻仍在同一個 Node.js 程序內，共用記憶體。研究人員發現，不可信程式碼可從記憶體取得用來辨識可信程式碼的秘密憑證，再冒用該權限，觸發開發者電腦上未受沙盒限制的指令。8
19
這就是唯讀模式的盲點：它本來不容許 Codex 寫檔，但在研究人員描述的情境中，開發者只需叫 Codex 查看惡意程式庫，仍可能令電腦暴露於這條攻擊路徑。2
7
Overpatch：補丁寫到專案目錄以外
Overpatch 影響 Codex CLI 在 workspace-write 模式下使用的 apply_patch 工具。這個模式原本只容許在指定的專案目錄內寫入；但經特別構造的補丁，可令工具在沒有彈出批准提示的情況下，把檔案寫到目錄以外。2
6
**這不等同 Heapjack 那種即時執行指令的效果。**不過，越界寫檔也可能為之後執行指令鋪路，例如修改啟動終端機時會載入的設定檔。2
9
共同問題與用戶應做的事
兩個漏洞的共同點，是受攻擊者影響的輸入進入了具較高權限的輔助工具，而安全界線又依賴工具自身的檢查。Heapjack 破壞了工具區分可信與不可信程式碼的方法；Overpatch 則繞過了補丁工具的寫入位置限制。因此，單靠唯讀或只准在工作目錄寫入的設定，並不足以擋住這兩條路徑。2
8
9
Accomplish AI 表示，已於 2026 年 8 月 12 日向 OpenAI 通報兩個漏洞，兩者均在八天內獲修補。Heapjack 的修補版本是 Codex Desktop build 26.818.21641，Overpatch 則是 Codex CLI 0.149.0。若你同時使用 Desktop 和 CLI，應分別確認兩者已更新至該版本或以上；Desktop 安裝的輔助工具也可能供 CLI 使用。檢查不信任的程式庫時，尤其在尚未更新之前，不要把唯讀模式當成隔離保證，應改用隔離環境。1
2
7
8
Studio Global AI
繼續你的研究
此頁麵包含一個有來源支援的答案，您可以在 Studio Global 內繼續。
人們還問
「Codex 開住唯讀都未必安全：Heapjack 與 Overpatch 點樣突破沙盒」的簡短答案是什麼？
Heapjack 可令 Codex 在唯讀模式檢查惡意程式庫時，於開發者電腦上執行未受沙盒限制的指令；Overpatch 則可令 CLI 在毋須批准下，把檔案寫到指定工作目錄以外。[2][6]
首先要驗證的關鍵點是什麼？
Heapjack 可令 Codex 在唯讀模式檢查惡意程式庫時，於開發者電腦上執行未受沙盒限制的指令；Overpatch 則可令 CLI 在毋須批准下，把檔案寫到指定工作目錄以外。[2][6] 修補版本分別是 Codex Desktop build 26.818.21641 及 Codex CLI 0.149.0；如果兩者都有用，應分開檢查並更新。[1][7][8]