שתי דרכים לצאת מארגז החול של OpenAI Codex: Heapjack ו-Overpatch

ב-15 בספטמבר 2026 פרסם אורן יומטוב, חוקר אבטחה ראשי ב-Accomplish AI, תיאור טכני של שתי דרכים נפרדות להיחלץ מארגז החול שמקיף את סוכן הקידוד Codex של OpenAI. שתיהן דווחו ל-OpenAI ב-12 באוגוסט 2026 ושתיהן תוקנו בתוך שמונה ימים, לפי המסמך שכתב: Heapjack ב-Codex Desktop build 26.818.21641 ו-Overpatch ב-Codex CLI 0.149.0. Heapjack הוא החמור מבין השניים. הוא אינו דורש מהאדם המותקף דבר מלבד פתיחת מאגר ב-Codex ושאלת שאלה על הקוד, והוא פועל במצב קריאה בלבד, המצב המחמיר ביותר שהמוצר מציע, ללא בקשת אישור וללא דבר המוצג על המסך. לא הוקצה CVE לאף אחד מהפגמים ולא פורסמה התרעת אבטחה נפרדת של OpenAI, לפי Cloud Security Alliance, ולא דווח על איש שנפגע מהם. הוא מתועד לצד רשומות בקרת סוכנים אחרות של השנה בארכיון אירועי ה-AI, שבו כל רשומה כוללת את מסמכי המקור שלה, דירוג מהימנות וסימון מחלוקת.

Heapjack: הטוקן שכן ב-heap שהצד הלא מהימן יכול היה לקרוא

Codex Desktop אינו שואל לפני שהוא מתקין את הרכיב שיומטוב תקף. בעת ההתקנה הוא כותב בלוק node_repl לקובץ התצורה הגלובלי בכתובת ~/.codex/config.toml, ויומטוב מדווח שאין אפשרות להצטרף מרצון ואין הגדרה שמכבה אותו. מכיוון שהרשומה נמצאת בתצורה המשותפת ולא בבחירה פר־משתמש, משתמש Codex CLI רגיל יורש את אותו כלי בלי שנשאל כלל.

הכלי node_repl הוא בעצמו תוכנית נייטיבית שרצה מחוץ לארגז החול. הוא יכול לפתוח יישומים, להתחבר לשקעי Unix ולערוך את קובץ התצורה הגלובלי. מה שהוא מפעיל בתוך ארגז החול הוא תהליך Node.js יחיד, ותהליך זה מחזיק שני הקשרי הרצה של JavaScript: אחד מהימן שמכיל קוד של OpenAI עצמה, ואחד לא מהימן שמריץ כל מה שהסוכן התבקש לעשות.

הקונטקסט המהימן מוכיח שהוא מהימן באמצעות הצגת אסימון אקראי, שנוצר מחדש בכל הרצה. זה אמור להיות הגבול בין שני הקונטקסטים. אבל זה לא גבול, porque ambos os contextos vivem em um único isolate de V8 החולק ערמת זיכרון אחת, כך שהאסימון הוא מחרוזת שיושבת בזיכרון ושקוד לא מהימן יכול לקרוא. מגיב שהגיב לגילוי ב-X ניסח את הנקודה בצורה בוטה יותר, במשפט ש-BleepingComputer ציטט: "הקונטקסטים של V8 מבודדים גלובליים, לא זיכרון, כך שהארגז החול היה למעשה הבטחה שהערמה מעולם לא הסכימה לה." זה תיאור, לא ראיה; הראיה היא הוכחת ההיתכנות.

הניצול של Yomtov עושה בדיוק את מה שהתיאור הזה מרמז. JavaScript לא מהימן קורא ל-v8.getHeapSnapshot(), סורק את ה-snapshot המתקבל אחר מחרוזות שצורתן UUID, ובודק כל מועמד. ניחוש שגוי מחזיר "לא מורשה". אסימון נכון עם ארגומנט לא חוקי מחזיר במקום זאת שגיאת אימות אמיתית. ההבדל בין שתי הודעות השגיאה הוא האורקל שמזהה את הערך הנכון.

כשהטוקן בידו, התהליך המבודד כותב את בקשת ה-JSON שלו אל מתאר הקובץ 1 — אותו צינור stdout שההקשר המהימן משתמש בו כדי להגיע לתהליך האב המקורי. התהליך האב מאמת את הטוקן, מוצא טוקן תקף ומבצע את העבודה. בהוכחת ההיתכנות, העבודה הזו הייתה פקודת ה-open של המערכת, שמעבירה את הבקשה ל-launchd ומפעילה את היישום מחוץ לעץ התהליכים של Codex לחלוטין. אותו טוקן מאפשר חיבורים לשקעי Unix כלשהם, ובהם שקע הדמון של Docker, ומאפשר להגיע לכלי לעריכת קובץ התצורה הגלובלי.

הכול פועל במצב לקריאה בלבד — המצב שמשתמש זהיר בוחר בו בדיוק מפני שהמאגר שמולו אינו מהימן. בשלב כלשהו לא הופיעה בקשת אישור. התרחיש המעשי קצר: לפתוח מאגר משוכפל ב-Codex, במצב לקריאה בלבד, ולשאול שאלה על הקוד. מי שכתב את המאגר הזה מקבל הרצת פקודות ללא ארגז חול על המחשב, ושום דבר על המסך לא אומר זאת.

Overpatch: כלי תיקון שהעניק את ההורה של כל מה שנגע בו

הפגם השני נמצא ב-Codex CLI, סוכן שורת הפקודה בקוד פתוח, והוא באג הרשאות ולא באג זיכרון. במצב workspace-write הסוכן רשאי לכתוב בתוך תיקיית הפרויקט ורק שם; פקודת shell שמכוונת לתיקיית הבית נדחית. כלי apply_patch היה אמור לשמור על הגבול הזה. במקום זאת הוא גזר את ההרשאות שלו מהנתיבים שצוינו ב-patch שהוא הפעיל, והעניק הרשאת כתיבה לתיקיית האב של כל אחד מהם.

ציין נתיב תחת /tmp ב-patch וההרשאה מתרחבת לשורש הדיסק, כי האב של /tmp הוא /. זה כל הטריק.

הניצול העובד משתמש בשתי רשומות בטלאי יחיד. הראשונה מציינת את /tmp ואינה עושה דבר מועיל — היא נכשלת, מכיוון שקובץ אינו יכול לדרוס תיקייה — והיא קיימת רק כדי להרחיב את ההרשאה. השנייה מוסיפה שורה ל-.zshrc דרך קישור סמלי לתוך תיקיית הבית. הסירו את הרשומה הראשונה והכתיבה נדחית. השאירו אותה, והמסוף הבא שהמפתח יפתח יריץ את שורת התוקף ללא ארגז חול, כשארגז החול כבר לא מעורב בכלל.

זה הופך את Overpatch לבאג התמדה ולא לתופעה חד-פעמית. קובץ האתחול המורעל מופעל שוב בכל מעטפת (shell) שהמפתח פותח, עד שמישהו קורא את .zshrc ומבחין בשורה שנוספה — ולכן ההנחיה של Cloud Security Alliance היא לצאת ולחפש אחד כזה, ולא להמתין להופעת סימפטום.

שני הבאגים מכניסים את האכיפה לתוך הדבר שנאכף

המסגור של Yomtov עצמו הוא החלק שעובר מעבר ל-Codex. apply_patch חישב את ההרשאות של עצמו מתוך קלט שסיפק תוקף. node_repl החזיק בזיכרון את הסוד שמבדיל בין קוד מהימן לקוד לא מהימן — זיכרון שאותו קוד לא מהימן יכול היה לקרוא. בכל אחד מהמקרים, נאמר לארגז החול מבפנים לתת למשהו לעבור.

הצורה אינה חדשה. BleepingComputer, שדיווח על החשיפה ב-20 בספטמבר 2026, מציין כי ביולי 2026 הדגימו חוקרי Pillar Security את אותו רעיון ב-Cursor, Codex, Gemini CLI ו-Antigravity של Google, שבו סוכן שנשאר בתוך ארגז החול שלו כותב קובץ שכלי מהימן מחוץ לארגז החול מריץ לאחר מכן. מה שמייחד את הצמד של Codex הוא עקיפת מצב קריאה בלבד ב-Heapjack והיעדר הגדרה כלשהי להשבתת הרכיב שנושא אותה.

התיקונים, ומה ש-OpenAI אמרה ומה שלא אמרה

‏OpenAI תיקנה את Heapjack ב-Codex Desktop build 26.818.21641 ואת Overpatch ב-Codex CLI 0.149.0, כך לפי Accomplish. שתי התיקונים נכנסו בתוך שמונה ימים מדוח ה-12 באוגוסט — עד 20 באוגוסט, בקריאה פשוטה של לוח הזמנים הזה — ויומטוב זיכה את OpenAI במפנה.

OpenAI לא פרסמה ייעוץ אבטחה עצמאי לאף אחד משני הפגמים, ולא הוקצה מזהה CVE; Cloud Security Alliance מתעדת את שני ההיעדרים בהערת מחקר מתוארכת ל-22 בספטמבר 2026. כשנשאלה לתגובה, דוברת OpenAI אמרה ל-BleepingComputer: "אנו מודים לחוקרים על שפנו אלינו ושיתפו את ממצאיהם. טיפלנו בשני הנושאים באוגוסט, אך אנו ממשיכים לחזק את ארגזי החול שלנו, עם עדכונים אחרונים שמהדקים את הבקרות על היכן שסוכנים יכולים לכתוב קבצים ומרחיבים את הבדיקה של ההגנות הללו ברחבי הפלטפורמות."

הצהרה זו מאשרת את התיקונים ואינה אומרת דבר על המנגנונים. היא אינה אומרת אם שינויי אוגוסט הסירו את דפוס התכנון או סגרו את שני הנתיבים הספציפיים החוצה ממנו. גם אף אחד מחוץ ל-OpenAI לא אמר זאת.

מה מבוסס, ומה נשען על חוקר אחד

הארכיון מתעד רשומה זו כממצא מחקרי, חומרה גבוהה, אזור גלובלי, ודאות B — מתועד, אך ממקור יחיד או משני — לא שנוי במחלוקת, וללא נזק ממשי מתועד. דירוג זה הוא העדשה הנכונה לקריאת המשך הטקסט, משום שהפיצול בין מה שכמה צדדים מאשרים לבין מה שרק מי שמצא טוען עובר לאורך כל הסיפור.

מבוסס, במובן שיותר מגורם אחד אומר זאת:

• הגילוי קיים ונושא תאריך. הכתיבה של יומטוב פורסמה ב-15 בספטמבר 2026; שני הפגמים דווחו ל-OpenAI ב-12 באוגוסט 2026, ולפי עדותו תוקנו בתוך שמונה ימים.

• OpenAI מאשרת שפעלה באוגוסט. דוברה אמר ל-BleepingComputer ששני הנושאים טופלו, מה שמאמת את ציר הזמן של דיווח ותיקון באופן בלתי תלוי במגלה, אף שהחברה לא פרסמה התרעה או תיאור טכני משלה.

• הגרסאות המתוקנות מפורטות באופן עקבי. Build 26.818.21641 עבור Codex Desktop וגרסה 0.149.0 עבור Codex CLI ניתנות על ידי Accomplish, מובאות שוב על ידי BleepingComputer, ומופיעות בייעוץ מ-22 בספטמבר 2026 מטעם Uganda National Computer Emergency Response Team and Coordination Center, אשר דירג את הצמד כ"Red".

• אין CVE, אין ייעוץ ספק, ולא דווח על ניצול. הערת Cloud Security Alliance מ-22 בספטמבר 2026 מתעדת את היעדרם של גם CVE וגם ייעוץ עצמאי מטעם OpenAI, ומדווחת כי אין מקרים מאומתים של ארגון שמצא את מנגנון ההתמדה של Overpatch מותקן ופעיל.

• הארכיון אינו חולק על דבר מכך. הרשומה מסומנת כ"שנויה במחלוקת: לא", וציון הביטחון שלה משקף את דפוס המקורות ולא אי־הסכמה כלשהי באשר לעובדות.

לא הוקם, או הוקם על ידי איש מלבד המוצא:

• פרטי המנגנון הם של יומטוב. אורקל תמונת ה-heap, מתאר הקובץ המשותף, והרשאת תיקיית האב — הכול מגיע מהכתיבה שלו ומהוכחת ההיתכנות שלו. Cloud Security Alliance, שההערה שלה היא הסיכום המפורט ביותר של צד שלישי שנמצא בתפוצה, מתארת סינתזה של התיאור שלו ושל הדיווח של BleepingComputer, ואינה מציינת שהיא שחזרה מי מהאקספלויטים או בדקה מי מהתיקונים. ההתראה של CERT.UG מרכזת את אותו חומר.

• טווחי הגרסאות הפגיעות מעולם לא פורסמו. רק גרסאות התיקון מצוינות, ולכן אין רשימה של אילו גרסאות בנייה קודמות כללו כל פגם.

• לא נאמר האם התקנה מתוקנת בטוחה מפני סוג הבאג, ולא רק מפני שני המקרים הללו. האמירה של OpenAI על „חיזוק מתמשך של ארגזי החול שלנו” היא מחויבות כללית, ולא טענה לגבי מנגנון ספציפי.

• לא דווח על איש שניצל את אחת משתי הפרצות. זהו היעדר דיווח, ולא ממצא של היעדר, והוכחת ההיתכנות מראה שנתיב Heapjack אינו מותיר על המסך דבר שהמשתמש יבחין בו.

על מה משתמש יכול לפעול

כל מי שנמצא בגרסת build של Codex Desktop ישנה מ-26.818.21641, או בגרסת Codex CLI ישנה מ-0.149.0, נמצא בצד הפגיע של הקו ש-Accomplish מתווה, והעדכון הוא התיקון היחיד שהגילוי מציע. מעבר לכך, Cloud Security Alliance ממליצה לבדוק הפעלות עבר של Codex Desktop שכללו מאגרים לא מהימנים לאיתור פעילות launchd או open וחיבורים ל-Docker socket, וכן לקרוא את קובצי האתחול של ה-shell — .zshrc, .bashrc והמקבילים להם — לאיתור פקודות שנוספו ולא נכתבו על ידי המשתמש.

אותה הערה מייעצת שלא להתייחס למצב קריאה בלבד כאל הגנה כאשר המאגר אינו מהימן, וזו המסקנה שאליה Heapjack נאלץ להגיע בעצמו. ההמלצות המבניות שלה מרחיקות לכת: בידוד פיזי של תהליכים וזיכרון במקום סודות משותפים ומוסכמות, שמירת פרטי גישה מחוץ להישג ידו של הסוכן, וטלאים שמפנים לנתיבים מחוץ לפרויקט ייחשבו חשודים כבר במבט ראשון. אלו הצעות של צד שלישי. האם OpenAI אימצה מי מהן מעבר לשתי העלאות הגרסה אינו פומבי.

שני דברים ראויים להבחנה בסיום. האחד הוא זוג באגים בסוכן קידוד נפוץ בשימוש, שדווחו ב-12 באוגוסט 2026, תוקנו בתוך שמונה ימים, ונסגרו בשני מספרי build. השנייה היא שאלת התכנון שיומטוב מציין — האם ניתן לאכוף סנדבוקס באמצעות הקוד שהוא אמור להכיל — ושאלה זו אינה משהו שמספר גרסה עונה עליו. לא Accomplish ולא OpenAI אמרו שהשינויים של אוגוסט מכריעים אותה.