Dos fallas permitían escapar del sandbox de OpenAI Codex y ejecutar comandos en la máquina host
El investigador Oren Yomtov documentó Heapjack y Overpatch, dos técnicas que rompían el aislamiento de Codex Desktop y Codex CLI; OpenAI las corrigió en menos de ocho días tras el reporte.
El investigador de seguridad Oren Yomtov, de Accomplish AI, hizo público a mediados de septiembre el hallazgo de dos formas distintas de escapar del entorno aislado de OpenAI Codex. Overpatch abusa de la herramienta apply_patch de Codex CLI, que calcula los permisos de escritura a partir de rutas provistas por quien controla el prompt, para saltarse las restricciones de workspace-write y escribir en el directorio home mediante un symlink, dejando código que se ejecuta la próxima vez que se abre una terminal.
Heapjack, la segunda falla, explota un heap de memoria compartida dentro del entorno de JavaScript V8 que usa Codex Desktop para robar tokens de autenticación y lograr ejecución de comandos fuera del sandbox, incluso cuando Codex corre en el modo más restrictivo de solo lectura.
Ambas fallas se reportaron a OpenAI el 12 de agosto y se corrigieron en un plazo de ocho días: Heapjack quedó resuelto en el build 26.818.21641 de Codex Desktop y Overpatch en la versión 0.149.0 de Codex CLI. Para equipos que usan agentes de código sobre repositorios de terceros o no confiables, el episodio recuerda que el "sandbox" de un asistente de codificación necesita el mismo escrutinio de seguridad que cualquier otro entorno de ejecución con permisos sobre el disco.