Heapjack og Overpatch: to veier ut av Codex-sandkassen, begge fikset innen åtte dager

Du kloner et kodelager du ikke har skrevet selv, åpner det i Codex i skrivebeskyttet modus og stiller et spørsmål om koden. Ingen godkjenningsdialog dukker opp, og ingenting vises på skjermen. Ifølge sikkerhetsselskapet Accomplish, som publiserte funnene 15. september, har den som skrev kodelageret da allerede kommandokjøring utenfor sandkassen på maskinen din. Forskeren Oren Yomtov kaller angrepet Heapjack.

Mekanismen ligger i node_repl, et verktøy Codex Desktop skriver inn i den globale ~/.codex/config.toml ved installasjon, uten avkryssing og uten innstilling for å slå det av. Derfor får også den rene CLI-en verktøyet. Selve programmet er skrevet i Rust og kjører usandkasset, men starter Node-prosessen sin gjennom sandkassen, så all JavaScript er innesperret. Inne i den ene prosessen ligger to V8-kontekster: en betrodd med OpenAIs egen kode og et tilfeldig token som genereres på nytt hver kjøring, og en ubetrodd med agentens kode. Begge deler samme heap. Ubetrodd kode tar et heap-snapshot med v8.getHeapSnapshot() og prøver hver streng som ser ut som en UUID. Feil token svarer «not authorized», riktig token med et ugyldig argument svarer med en ekte valideringsfeil, og dermed er grensen identifisert.

Det andre hullet, Overpatch, ligger i den åpne Codex CLI-en. Verktøyet apply_patch ga skrivetilgang til forelderkatalogen for hver sti i patchen, så en patch som nevnte /tmp utvidet tilgangen til rot. Accomplish la inn én linje som ikke gjorde annet enn å nevne /tmp, og brukte en symlink til å skrive i .zshrc i $HOME. Det skjedde i vanlig workspace-write-modus, uten godkjenningsdialog, og neste terminal du åpner kjører linjen usandkasset.

«Det som håndhevet grensen, satt inni det som skulle håndheves» — Oren Yomtov, Accomplish

Overpatch-delen lar seg etterprøve i det åpne kodelageret. To pull requests som svarer til beskrivelsen ble slått sammen 20. august 2026, åtte dager etter rapporten: «Prevent apply_patch from widening write permissions» og «Harden unsandboxed patch filesystem access». Den siste dekker også at en sti kan byttes ut med en symlink etter at den er godkjent.

«Å utlede rettigheter fra forelderkatalogen til et patch-mål som allerede er skrivbart, kan gi skrivetilgang utenfor det tiltenkte arbeidsområdet» — begrunnelsen i openai/codex, PR #39614

Heapjack-siden kan du ikke sjekke på samme måte, fordi node_repl følger med Codex Desktop og ikke ligger i det åpne kodelageret. Accomplish har dessuten egeninteresse i saken: selskapet selger en agentløsning som kjører hele agenten i en VM, og innlegget avsluttes med en beskrivelse av det produktet. Den tekniske dokumentasjonen på Overpatch holder uansett, siden rettelsen er offentlig sporbar.

Fellestrekket er det som er verdt å ta med videre, uansett leverandør. Begge hullene oppsto fordi kontrollen lå inne i det som skulle kontrolleres. Når en sandkasse utleder sine egne rettigheter fra data agenten selv styrer, eller en hemmelighet deler minne med koden den skal stenge ute, holder grensen bare så lenge ingen leter etter den.

Hva bør du gjøre?

1. Oppdater Codex CLI og Codex Desktop. Rettelsene ble slått sammen i openai/codex 20. august 2026, så et eldre bygg har fortsatt den gamle apply_patch-oppførselen.
2. Se etter en [mcp_servers.node_repl]-blokk i ~/.codex/config.toml. Har du installert Codex Desktop, ble den skrevet inn globalt, og den gjelder også når du kjører den rene CLI-en.
3. Skal du åpne et kodelager du ikke kjenner, kjør økten i en VM eller container der verten ikke er nåbar. Skrivebeskyttet modus er ingen grense mot ukjent kode.