Codex 的沙箱原本用來限制 AI 程式代理可讀取、寫入及執行的內容。然而，Accomplish AI 公開的 Heapjack 與 Overpatch 顯示，只要受信任元件與不受信任程式碼共用祕密，或依據攻擊者可控制的輸入來推導權限，這道邊界仍可能被繞過。兩項問題都已修補。48

Heapjack：共享堆積中的授權祕密

Heapjack 影響的是 Codex Desktop 安裝的 node_repl 整合。研究人員指出，Desktop 會把 MCP 伺服器設定寫入全域的 ~/.codex/config.toml；因此，使用這份共用設定的 CLI 工作階段也可能繼承該輔助元件。89

真正的隔離失效發生在這個輔助元件的 JavaScript 執行環境：

• 受信任的執行內容保留每次執行使用的授權權杖。
• 由代理控制、屬於不受信任的一側，卻在同一個 V8 堆積中執行。
• 不受信任的一側可取得該權杖，並以此發出請求，使沙箱外的原生父程序將其視為已授權請求。815

由於父程序位於沙箱外，最終可能造成主機層級操作，包括執行命令；即使 Codex 表面上處於唯讀模式，也可能發生。問題不在於單純執行 JavaScript，而在於用來區分「受信任」與「不受信任」工作的憑證，存放在後者可存取的記憶體中。815

Overpatch：補丁內容反而擴大了權限

Overpatch 是 Codex CLI 在工作區寫入模式下，apply_patch 工具的問題。該工具本應將修改限制在工作區內，但其授權邏輯會根據補丁中列出的父目錄授予寫入範圍。4

這使補丁中的路徑成為安全敏感輸入。Accomplish 描述的概念驗證中，一個原本無實際作用的路徑，例如 /tmp，就能讓可寫入範圍擴大至檔案系統根目錄。接著，另一個補丁變更透過儲存庫可控制的符號連結，修改工作區外的檔案，包括使用者家目錄中的 Shell 啟動設定檔。49

其風險雖可能延後觸發，卻不容忽視：若惡意程式碼被寫進 Shell 啟動檔，開發者日後開啟終端機時，程式碼便可能在代理沙箱外執行；而這個最終的主機動作不需要通常的核准提示。47

共同缺陷：高權限元件信任了錯誤的東西

Heapjack 和 Overpatch 的技術路徑不同，卻都暴露同一類設計問題：負責執行權限限制的機制，信任了不受信任一側可接觸或可操控的資料。

問題	被信任的資料	邊界為何失效
Heapjack	位於共用 V8 堆積中的授權權杖	不受信任程式碼可取得用於辨識受信任請求的祕密。815
Overpatch	由代理控制的補丁所提供的路徑	這些路徑影響寫入權限範圍，而非僅描述預期修改目標。4

這類情況可視為「混淆代理人」（confused deputy）問題：較高權限的輔助元件或執行框架，未妥善驗證授權或最終目標，便依照較低信任等級的輸入代為執行動作。因此，只把代理的 Shell 放進沙箱並不足夠；若輔助元件、權杖、設定與編排子程序仍具高權限，或會受到儲存庫內容影響，整個信任邊界就可能出現破口。

Git 型代理逃逸也有類似架構問題

2026 年其他程式代理沙箱問題，技術細節雖不相同，架構上卻很類似。Accomplish 的 Beltdown 與 Beltdown2 報告指出，代理 Shell 雖被沙箱包住，但外層編排工具執行的內部 Git 命令卻在沙箱外運作。儲存庫的 .git/config 可利用 Git 的 core.fsmonitor 設定，讓 Git 在檢查工作樹時執行指定的輔助程式。1718

Manifold Security 將這一大類問題稱為 GitSpawn：由儲存庫控制的 Git 設定，可能使代理在檢視專案時執行攻擊者指定的程式碼，甚至早於有意義的核准或信任決策。2021

重點並非每個儲存庫在所有工作流程中都必然危險，而是工具在檢查中繼資料、解析符號連結、套用補丁、執行 Hook 或啟動輔助程序時，必須把儲存庫視為可能帶有主動行為的輸入。程式代理產品的信任邊界，涵蓋所有這些路徑，而不只是畫面上可見的命令工具。

已修補的 Codex 版本

報導指出，至少應使用下列版本：

• Codex Desktop build 26.818.21641 或更新版本：修補 Heapjack。89
• Codex CLI 0.149.0 或更新版本：修補 Overpatch。48

Accomplish 表示，兩項問題於 2026 年 8 月 12 日通報 OpenAI，並在 8 天內完成修補。9

開啟不受信任儲存庫前，應做什麼？

1. Desktop 與 CLI 都要更新。 兩項問題影響的元件不同；而 Desktop 安裝的全域輔助元件，也可能影響使用共用設定的 CLI 工作階段。89
2. 不要只把儲存庫內容當成原始碼。 符號連結、補丁路徑、設定檔、Hook 與 Git 中繼資料，都可能改變代理或其執行框架的行為。420
3. 不要在未知程式碼環境暴露敏感主機資源。 應避免提供長效憑證、SSH 金鑰、雲端權杖、Docker socket，以及家目錄中的敏感檔案。
4. 對真正不受信任的專案使用外部隔離。 一次性虛擬機或同等強度的隔離環境，能提供獨立邊界；若代理、輔助元件或編排框架本身遭突破，僅靠程序內沙箱並不可靠。
5. 特別留意「完整交付」的儲存庫。 若專案經由壓縮檔、共用磁碟、同步資料夾或卸除式媒體傳遞，且保留 .git 中繼資料，GitSpawn 類風險尤其值得注意；一般 git clone 通常不會帶入遠端儲存庫本機的 .git/config。22

實務上的結論很簡單：先修補受影響的 Codex 元件，但不要把程序內沙箱視為陌生儲存庫與開發者工作站之間唯一的防線。

Codex 的沙箱原本用來限制 AI 程式代理可讀取、寫入及執行的內容。然而，Accomplish AI 公開的 Heapjack 與 Overpatch 顯示，只要受信任元件與不受信任程式碼共用祕密，或依據攻擊者可控制的輸入來推導權限，這道邊界仍可能被繞過。兩項問題都已修補。48

Heapjack：共享堆積中的授權祕密

Heapjack 影響的是 Codex Desktop 安裝的 node_repl 整合。研究人員指出，Desktop 會把 MCP 伺服器設定寫入全域的 ~/.codex/config.toml；因此，使用這份共用設定的 CLI 工作階段也可能繼承該輔助元件。89

真正的隔離失效發生在這個輔助元件的 JavaScript 執行環境：

• 受信任的執行內容保留每次執行使用的授權權杖。
• 由代理控制、屬於不受信任的一側，卻在同一個 V8 堆積中執行。
• 不受信任的一側可取得該權杖，並以此發出請求，使沙箱外的原生父程序將其視為已授權請求。815

由於父程序位於沙箱外，最終可能造成主機層級操作，包括執行命令；即使 Codex 表面上處於唯讀模式，也可能發生。問題不在於單純執行 JavaScript，而在於用來區分「受信任」與「不受信任」工作的憑證，存放在後者可存取的記憶體中。815

Overpatch：補丁內容反而擴大了權限

Overpatch 是 Codex CLI 在工作區寫入模式下，apply_patch 工具的問題。該工具本應將修改限制在工作區內，但其授權邏輯會根據補丁中列出的父目錄授予寫入範圍。4

這使補丁中的路徑成為安全敏感輸入。Accomplish 描述的概念驗證中，一個原本無實際作用的路徑，例如 /tmp，就能讓可寫入範圍擴大至檔案系統根目錄。接著，另一個補丁變更透過儲存庫可控制的符號連結，修改工作區外的檔案，包括使用者家目錄中的 Shell 啟動設定檔。49

其風險雖可能延後觸發，卻不容忽視：若惡意程式碼被寫進 Shell 啟動檔，開發者日後開啟終端機時，程式碼便可能在代理沙箱外執行；而這個最終的主機動作不需要通常的核准提示。47

共同缺陷：高權限元件信任了錯誤的東西

Heapjack 和 Overpatch 的技術路徑不同，卻都暴露同一類設計問題：負責執行權限限制的機制，信任了不受信任一側可接觸或可操控的資料。

問題	被信任的資料	邊界為何失效
Heapjack	位於共用 V8 堆積中的授權權杖	不受信任程式碼可取得用於辨識受信任請求的祕密。815
Overpatch	由代理控制的補丁所提供的路徑	這些路徑影響寫入權限範圍，而非僅描述預期修改目標。4

這類情況可視為「混淆代理人」（confused deputy）問題：較高權限的輔助元件或執行框架，未妥善驗證授權或最終目標，便依照較低信任等級的輸入代為執行動作。因此，只把代理的 Shell 放進沙箱並不足夠；若輔助元件、權杖、設定與編排子程序仍具高權限，或會受到儲存庫內容影響，整個信任邊界就可能出現破口。

Git 型代理逃逸也有類似架構問題

2026 年其他程式代理沙箱問題，技術細節雖不相同，架構上卻很類似。Accomplish 的 Beltdown 與 Beltdown2 報告指出，代理 Shell 雖被沙箱包住，但外層編排工具執行的內部 Git 命令卻在沙箱外運作。儲存庫的 .git/config 可利用 Git 的 core.fsmonitor 設定，讓 Git 在檢查工作樹時執行指定的輔助程式。1718

Manifold Security 將這一大類問題稱為 GitSpawn：由儲存庫控制的 Git 設定，可能使代理在檢視專案時執行攻擊者指定的程式碼，甚至早於有意義的核准或信任決策。2021

重點並非每個儲存庫在所有工作流程中都必然危險，而是工具在檢查中繼資料、解析符號連結、套用補丁、執行 Hook 或啟動輔助程序時，必須把儲存庫視為可能帶有主動行為的輸入。程式代理產品的信任邊界，涵蓋所有這些路徑，而不只是畫面上可見的命令工具。

已修補的 Codex 版本

報導指出，至少應使用下列版本：

• Codex Desktop build 26.818.21641 或更新版本：修補 Heapjack。89
• Codex CLI 0.149.0 或更新版本：修補 Overpatch。48

Accomplish 表示，兩項問題於 2026 年 8 月 12 日通報 OpenAI，並在 8 天內完成修補。9

開啟不受信任儲存庫前，應做什麼？

1. Desktop 與 CLI 都要更新。 兩項問題影響的元件不同；而 Desktop 安裝的全域輔助元件，也可能影響使用共用設定的 CLI 工作階段。89
2. 不要只把儲存庫內容當成原始碼。 符號連結、補丁路徑、設定檔、Hook 與 Git 中繼資料，都可能改變代理或其執行框架的行為。420
3. 不要在未知程式碼環境暴露敏感主機資源。 應避免提供長效憑證、SSH 金鑰、雲端權杖、Docker socket，以及家目錄中的敏感檔案。
4. 對真正不受信任的專案使用外部隔離。 一次性虛擬機或同等強度的隔離環境，能提供獨立邊界；若代理、輔助元件或編排框架本身遭突破，僅靠程序內沙箱並不可靠。
5. 特別留意「完整交付」的儲存庫。 若專案經由壓縮檔、共用磁碟、同步資料夾或卸除式媒體傳遞，且保留 .git 中繼資料，GitSpawn 類風險尤其值得注意；一般 git clone 通常不會帶入遠端儲存庫本機的 .git/config。22

實務上的結論很簡單：先修補受影響的 Codex 元件，但不要把程序內沙箱視為陌生儲存庫與開發者工作站之間唯一的防線。