答案已發布17 個來源
Heapjack 與 Overpatch：惡意程式碼儲存庫如何越過 Codex 沙箱
Heapjack 可讓 Codex 在檢查惡意程式碼儲存庫時，即使處於只讀模式，仍在開發者電腦上執行未受沙箱限制的命令。[2][7] Overpatch 可讓 Codex CLI 的修補工具在不跳出核准提示的情況下，將檔案寫到允許的工作目錄之外。[2][6] 請分別確認 Codex Desktop 已更新至 build 26.818.21641 或更新版本、Codex CLI 已更新至 0.149.0 或更新版本。[1][7]
發布者使用 GPT-6 Sol 編輯圖片由 GPT Image 2 生成
研究答案
重點整理
- Heapjack 可讓 Codex 在檢查惡意程式碼儲存庫時，即使處於只讀模式，仍在開發者電腦上執行未受沙箱限制的命令。[2][7]
- Overpatch 可讓 Codex CLI 的修補工具在不跳出核准提示的情況下，將檔案寫到允許的工作目錄之外。[2][6]
- 請分別確認 Codex Desktop 已更新至 build 26.818.21641 或更新版本、Codex CLI 已更新至 0.149.0 或更新版本。[1][7]
AI 提示詞
openai.comCreate a landscape editorial hero image for this Studio Global article: How did the Heapjack and Overpatch vulnerabilities discovered by Accomplish AI researchers let a malicious repository escape OpenAI Codex’s. Article summary: Accomplish AI found two ways for content in an untrusted repository to cross Codex’s sandbox boundary. Heapjack could lead to unsandboxed command execution even in read-only mode; Overpatch could make Codex write outside. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
檢查別人的程式碼儲存庫，未必只是「讀取檔案」。Accomplish AI 發現，攻擊者可利用儲存庫中的內容，讓 OpenAI Codex 的高權限輔助元件越過原本的沙箱限制。兩項漏洞的結果並不相同：Heapjack 可從只讀模式觸及開發者的主機並執行命令；Overpatch 則可突破工作目錄的寫入範圍，而且不會跳出核准提示。2
6
Heapjack：只讀模式下，仍能在主機執行命令
Heapjack 針對的是 Codex Desktop 安裝的 JavaScript 輔助元件 node_repl；由於它透過共用設定提供，Codex CLI 工作階段也可能使用到它。元件雖然把受信任與不受信任的 JavaScript 放在不同執行環境，兩者卻仍共用同一個 Node.js 程序及記憶體堆積。研究人員發現，不受信任的程式碼能從記憶體中找出用來辨識受信任程式碼的祕密，再藉此觸發不受沙箱限制的主機命令。8
19
這也是為何「只讀」不能單獨當成隔離措施：在研究人員描述的情境中，開發者只要請 Codex 檢查惡意儲存庫，即使工作階段不應寫入檔案，仍可能讓主機暴露在這條攻擊路徑下。2
7
Overpatch：修補工具寫出工作目錄
Overpatch 影響 Codex CLI 在 workspace-write 模式下使用的 apply_patch。精心構造的修補內容可讓工具在沒有核准提示的情況下，把檔案寫到允許的專案目錄之外。這與 Heapjack 直接執行未受沙箱限制的命令不同；但越界寫入也可能為之後的命令執行鋪路，例如修改使用者的 shell 啟動檔。2
6
9
共同問題，以及使用者該做什麼
兩項漏洞跨越的權限邊界不同，共同點是：受攻擊者影響的輸入，抵達了有較高權限的輔助元件，而安全限制仰賴該元件自身正確把關。Heapjack 動搖了「受信任／不受信任程式碼」的區分；Overpatch 則繞過了修補工具的寫入位置限制。因此，在這兩條路徑上，read-only 和 workspace-write 設定都不足以提供預期的保護。2
8
9
Accomplish AI 表示，已於 2026 年 8 月 12 日向 OpenAI 通報兩項漏洞，兩者均在八天內獲得修復。Heapjack 的修正版為 Codex Desktop build 26.818.21641，Overpatch 的修正版為 Codex CLI 0.149.0。若兩者都有使用，應分別檢查並更新至上述或更新版本：Desktop 安裝的輔助元件也可能出現在 CLI 工作階段中。處理不信任的儲存庫時，別只靠只讀模式；尤其尚未更新前，應改用隔離環境檢查。1
2
7
8
Studio Global AI
繼續深入研究
這個頁面包含附來源佐證的答案，你可以在 Studio Global 內繼續追問。
大家也會問
「Heapjack 與 Overpatch：惡意程式碼儲存庫如何越過 Codex 沙箱」的簡短答案是什麼？
Heapjack 可讓 Codex 在檢查惡意程式碼儲存庫時，即使處於只讀模式，仍在開發者電腦上執行未受沙箱限制的命令。[2][7]
最值得優先驗證的重點是什麼？
Heapjack 可讓 Codex 在檢查惡意程式碼儲存庫時，即使處於只讀模式，仍在開發者電腦上執行未受沙箱限制的命令。[2][7] Overpatch 可讓 Codex CLI 的修補工具在不跳出核准提示的情況下，將檔案寫到允許的工作目錄之外。[2][6]
接下來在實務上該怎麼做？
請分別確認 Codex Desktop 已更新至 build 26.818.21641 或更新版本、Codex CLI 已更新至 0.149.0 或更新版本。[1][7]