研究人员破解 OpenAI Codex 沙箱，可在主机执行命令
安全研究人员披露 Codex 两项沙箱逃逸：Heapjack 可在最严格只读模式下于主机远程执行命令，Overpatch 可借补丁工具写出工作区限制；OpenAI 已在 Desktop 26.818.21641 与 CLI 0.149.0 修复。
据 BleepingComputer 报道，Accomplish AI 的 Oren Yomtov 等人发现 OpenAI 编程代理 Codex 的两处沙箱逃逸。更严重的 Heapjack 利用 Desktop 默认写入全局配置的 node_repl：可信与不可信 JavaScript 同处一个 Node 进程并共享堆内存，不可信侧可通过堆快照猜出鉴权令牌，经管道让未沙箱的父进程执行命令；在最严格的只读模式下即可完成，且打开他人仓库并向 Codex 提问即可触发，无需审批提示。
第二项 Overpatch 存在于开源 Codex CLI：在 workspace-write 模式下，apply_patch 会根据补丁路径授予父目录写权限，命名 /tmp 即可放宽至磁盘根，再经符号链接向 .zshrc 写入恶意行。两处漏洞均于 8 月 12 日报告，OpenAI 在八天内修复，分别发布 Desktop 26.818.21641 与 CLI 0.149.0。