สองวิธีออกจากแซนด์บ็อกซ์ของ OpenAI Codex: Heapjack และ Overpatch

เมื่อวันที่ 15 กันยายน 2026 Oren Yomtov นักวิจัยด้านความปลอดภัยระดับหัวหน้าที่ Accomplish AI ได้เผยแพร่รายงานทางเทคนิคเกี่ยวกับสองวิธีแยกกันในการหลุดออกจากแซนด์บ็อกซ์ที่ล้อมรอบเอเจนต์เขียนโค้ด Codex ของ OpenAI ทั้งสองวิธีถูกแจ้งต่อ OpenAI เมื่อวันที่ 12 สิงหาคม 2026 และทั้งคู่ได้รับการแก้ไขภายในแปดวัน ตามรายงานของเขา ได้แก่ Heapjack ใน Codex Desktop บิลด์ 26.818.21641 และ Overpatch ใน Codex CLI 0.149.0 Heapjack เป็นช่องโหว่ที่ร้ายแรงกว่าของทั้งสอง มันไม่ต้องอาศัยอะไรจากผู้ที่ถูกโจมตี นอกจากการเปิดรีพอซิทอรีใน Codex และถามคำถามเกี่ยวกับโค้ด และมันทำงานในโหมดอ่านอย่างเดียว ซึ่งเป็นโหมดที่เข้มงวดที่สุดที่ผลิตภัณฑ์มีให้ โดยไม่มีพรอมป์ต์ขออนุมัติและไม่มีอะไรแสดงบนหน้าจอ ไม่มีการมอบหมาย CVE ให้กับช่องโหว่ทั้งสอง และไม่มีการเผยแพร่คำแนะนำแยกต่างหากจาก OpenAI ตามข้อมูลของ Cloud Security Alliance และไม่มีรายงานว่ามีผู้ใดได้รับอันตรายจากช่องโหว่เหล่านี้ โดยจัดทำรายการร่วมกับรายการควบคุมเอเจนต์อื่น ๆ ของปีใน คลังเหตุการณ์ AI ซึ่งแต่ละบันทึกมีเอกสารต้นทาง ระดับความเชื่อมั่น และธงข้อโต้แย้งของตน

Heapjack: โทเค็นอยู่ในฮีปที่ฝั่งที่ไม่น่าเชื่อถือสามารถอ่านได้

Codex Desktop ไม่ถามก่อนที่จะติดตั้งคอมโพเนนต์ที่ Yomtov โจมตี ในเวลาติดตั้ง มันเขียนบล็อก node_repl ลงในไฟล์กำหนดค่าส่วนกลางที่ ~/.codex/config.toml และ Yomtov รายงานว่าไม่มี opt-in และไม่มีการตั้งค่าที่ปิดมันได้ เพราะรายการนี้อยู่ในกำหนดค่าที่ใช้ร่วมกันแทนที่จะเป็นการเลือกของผู้ใช้แต่ละคน ผู้ใช้ Codex CLI ทั่วไปจึงได้รับเครื่องมือเดียวกันโดยไม่เคยถูกถามเลย

เครื่องมือ node_repl เองเป็นโปรแกรมเนทีฟที่ทำงานนอกแซนด์บ็อกซ์ มันสามารถเปิดแอปพลิเคชัน เชื่อมต่อซ็อกเก็ต Unix และแก้ไขไฟล์กำหนดค่าส่วนกลางได้ สิ่งที่มันเริ่มต้นภายในแซนด์บ็อกซ์คือโปรเซส Node.js เพียงโปรเซสเดียว และโปรเซสดังกล่าวมีบริบทการทำงานของ JavaScript สองบริบท ได้แก่ บริบทที่เชื่อถือได้ซึ่งมีโค้ดของ OpenAI เอง และบริบทที่ไม่น่าเชื่อถือซึ่งรันสิ่งที่เอเจนต์ถูกสั่งให้ทำ

บริบทที่เชื่อถือได้พิสูจน์ว่าตนได้รับความเชื่อถือโดยการแสดงโทเค็นแบบสุ่ม ซึ่งสร้างใหม่ทุกครั้งที่รัน นั่นมีไว้เพื่อเป็นขอบเขตระหว่างสองบริบท แต่มันไม่ใช่ขอบเขต เพราะทั้งสองบริบทอาศัยอยู่ใน V8 isolate เดียวที่ใช้ฮีปหน่วยความจำเดียวกัน ดังนั้นโทเค็นจึงเป็นสตริงที่อยู่ในหน่วยความจำซึ่งโค้ดที่ไม่ได้รับความเชื่อถือสามารถอ่านได้ ผู้แสดงความคิดเห็นรายหนึ่งที่ตอบสนองต่อการเปิดเผยบน X ได้กล่าวถึงประเด็นนี้อย่างตรงไปตรงมามากกว่า ในข้อความที่ BleepingComputer ยกมา: "บริบทของ V8 แยกโกลบอล ไม่ได้แยกหน่วยความจำ แซนด์บ็อกซ์จึงเป็นเพียงคำสัญญาที่ฮีปไม่เคยตกลงด้วย" นั่นเป็นการบรรยายลักษณะ ไม่ใช่หลักฐาน หลักฐานคือ proof of concept

Exploit ของ Yomtov ทำสิ่งที่คำอธิบายนั้นสื่อไว้ทุกประการ JavaScript ที่ไม่น่าเชื่อถือเรียก v8.getHeapSnapshot() สแกนสแนปช็อตที่ได้เพื่อหาสตริงที่มีรูปแบบเหมือน UUID และทดสอบแต่ละตัวเลือก การเดาผิดจะได้ผลลัพธ์กลับมาเป็น "not authorized" ส่วนโทเคนที่ถูกต้องซึ่งจับคู่กับอาร์กิวเมนต์ที่ไม่ถูกต้องจะคืนค่าข้อผิดพลาดการตรวจสอบที่แท้จริงแทน ความแตกต่างระหว่างข้อความข้อผิดพลาดทั้งสองคือ oracle ที่ใช้ระบุค่าที่ถูกต้อง

เมื่อมีโทเคนอยู่ในมือ กระบวนการที่ถูกจำกัดในแซนด์บ็อกซ์จะเขียนคำขอ JSON ของตนเองลงบนตัวระบุไฟล์หมายเลข 1 (file descriptor 1) — ซึ่งเป็นไปป์ stdout เดียวกันกับที่บริบทที่เชื่อถือได้ใช้เพื่อเข้าถึงโปรเซสแม่แบบเนทีฟ โปรเซสแม่จะตรวจสอบโทเคน พบว่าเป็นโทเคนที่ถูกต้อง และดำเนินการตามคำขอนั้น ในการพิสูจน์แนวคิด งานนั้นคือคำสั่ง open ของระบบ ซึ่งส่งคำขอไปยัง launchd และเปิดแอปพลิเคชันนอกทรีโปรเซสของ Codex ทั้งหมด โทเคนเดียวกันนี้ยังอนุญาตให้เชื่อมต่อกับยูนิกซ์ซ็อกเก็ตใด ๆ รวมถึงซ็อกเก็ตของดีมอน Docker และเข้าถึงเครื่องมือสำหรับแก้ไขไฟล์การกำหนดค่าส่วนกลาง

ทั้งหมดนี้ทำงานในโหมดอ่านอย่างเดียว ซึ่งเป็นโหมดที่ผู้ใช้ที่ระมัดระวังเลือกใช้เพราะรีโพซิทอรีที่อยู่ตรงหน้าพวกเขาไม่ได้รับความไว้วางใจ ไม่มีพรอมต์ขออนุมัติปรากฏขึ้นในขั้นตอนใดเลย สถานการณ์จริงนั้นสั้นมาก: เปิดรีโพซิทอรีที่โคลนมาใน Codex ในโหมดอ่านอย่างเดียว แล้วถามคำถามเกี่ยวกับโค้ด ใครก็ตามที่เขียนรีโพซิทอรีนั้นจะได้รับการรันคำสั่งบนเครื่องโดยไม่มีแซนด์บ็อกซ์ และไม่มีอะไรบนหน้าจอบอกเรื่องนี้

Overpatch: เครื่องมือแพตช์ที่ให้สิทธิ์เป็นพาเรนต์แก่ทุกสิ่งที่มันแตะต้อง

ข้อบกพร่องที่สองอยู่ใน Codex CLI ซึ่งเป็นเอเจนต์บรรทัดคำสั่งแบบโอเพนซอร์ส และเป็นบั๊กด้านสิทธิ์การเข้าถึง ไม่ใช่บั๊กด้านหน่วยความจำ ในโหมด workspace-write เอเจนต์อาจเขียนได้ภายในโฟลเดอร์โปรเจกต์เท่านั้นและไม่มีที่อื่นอีก คำสั่งเชลล์ที่มุ่งไปยังไดเรกทอรีโฮมจะถูกปฏิเสธ เครื่องมือ apply_patch ควรจะรักษาขอบเขตนั้นไว้ แต่กลับได้สิทธิ์มาจากพาธที่ระบุไว้ในแพตช์ที่กำลังนำไปใช้ และให้สิทธิ์การเขียนแก่ไดเรกทอรีแม่ของแต่ละพาธ

ระบุพาธใต้ /tmp ในแพตช์ แล้วการให้สิทธิ์จะขยายไปถึงรากของดิสก์ เพราะพาเรนต์ของ /tmp คือ / นั่นแหละคือกลอุบายทั้งหมด

เอ็กซ์พลอยต์ที่ใช้งานได้ใช้สองรายการในแพตช์เดียว รายการแรกระบุ /tmp และไม่ได้ทำอะไรที่มีประโยชน์ — มันล้มเหลว เพราะไฟล์ไม่สามารถเขียนทับไดเรกทอรีได้ — และมีอยู่เพียงเพื่อขยายขอบเขตสิทธิ์ที่อนุญาตให้กว้างขึ้น รายการที่สองต่อท้ายบรรทัดหนึ่งใน .zshrc ผ่านซิมลิงก์เข้าไปในไดเรกทอรีโฮม หากลบรายการแรกออก การเขียนจะถูกปฏิเสธ หากเก็บไว้ เทอร์มินัลถัดไปที่นักพัฒนาเปิดจะรันบรรทัดของแฮกเกอร์โดยไม่มีแซนด์บ็อกซ์ โดยที่แซนด์บ็อกซ์ไม่อยู่ในวงจรอีกต่อไปเลย

ทำให้ Overpatch เป็นบั๊กแบบคงอยู่ถาวร (persistence bug) มากกว่าจะเป็นแบบครั้งเดียว ไฟล์ startup ที่ถูกวางยาจะทำงานอีกครั้งทุกเชลล์ที่นักพัฒนาเปิด จนกว่าจะมีคนอ่าน .zshrc และสังเกตเห็นบรรทัดที่ถูกต่อท้ายไว้ — ซึ่งเป็นเหตุผลที่คำแนะนำของ Cloud Security Alliance คือให้ไปค้นหามันแทนที่จะรอให้เกิดอาการ

บั๊กทั้งสองทำให้การบังคับใช้อยู่ภายในสิ่งที่ถูกบังคับใช้เอง

การวางกรอบของ Yomtov เองคือส่วนที่เดินทางไปไกลกว่า Codex apply_patch คำนวณสิทธิ์ของตัวเองจากอินพุตที่ผู้โจมตีจัดหาให้ node_repl เก็บความลับที่ใช้แยกโค้ดที่เชื่อถือได้ออกจากโค้ดที่ไม่น่าเชื่อถือไว้ในหน่วยความจำที่โค้ดที่ไม่น่าเชื่อถือสามารถอ่านได้ ในแต่ละกรณี แซนด์บ็อกซ์ถูกสั่งจากภายในให้ปล่อยบางสิ่งผ่านไป

รูปแบบนี้ไม่ใช่ของใหม่ BleepingComputer ซึ่งรายงานการเปิดเผยเมื่อวันที่ 20 กันยายน 2026 ตั้งข้อสังเกตว่าในเดือนกรกฎาคม 2026 นักวิจัยจาก Pillar Security ได้สาธิตแนวคิดเดียวกันกับ Cursor, Codex, Gemini CLI และ Antigravity ของ Google โดยเอเจนต์ที่ยังคงอยู่ภายในแซนด์บ็อกซ์ของตนจะเขียนไฟล์ที่เครื่องมือที่เชื่อถือได้ซึ่งอยู่นอกแซนด์บ็อกซ์นำไปเรียกใช้ในภายหลัง สิ่งที่ทำให้คู่ของ Codex โดดเด่นคือการเลี่ยงข้อจำกัดแบบอ่านอย่างเดียวใน Heapjack และการไม่มีตั้งค่าใด ๆ สำหรับปิดใช้งานคอมโพเนนต์ที่บรรจุมันไว้

การแก้ไข และสิ่งที่ OpenAI ได้กล่าวและไม่ได้กล่าวไว้

OpenAI แก้ไข Heapjack ใน Codex Desktop build 26.818.21641 และ Overpatch ใน Codex CLI 0.149.0 ตามข้อมูลของ Accomplish ทั้งสองรายการเกิดขึ้นภายในแปดวันนับจากรายงานเมื่อวันที่ 12 สิงหาคม — ภายในวันที่ 20 สิงหาคม หากอ่านไทม์ไลน์นั้นตามตัวอักษร — และ Yomtov ให้เครดิต OpenAI สำหรับการพลิกสถานการณ์ครั้งนี้

OpenAI ไม่ได้เผยแพร่คำแนะนำด้านความปลอดภัยแบบแยกต่างหากสำหรับช่องโหว่ทั้งสอง และไม่มีการกำหนดหมายเลข CVE; Cloud Security Alliance บันทึกการไม่มีทั้งสองอย่างไว้ในบันทึกการวิจัยลงวันที่ 22 กันยายน 2026 เมื่อถูกขอความเห็น โฆษกของ OpenAI กล่าวกับ BleepingComputer ว่า "เราขอขอบคุณนักวิจัยที่ติดต่อเราและแบ่งปันสิ่งที่ค้นพบ เราได้แก้ไขปัญหาทั้งสองในเดือนสิงหาคม แต่เรากำลังเสริมความแข็งแกร่งให้แซนด์บ็อกซ์ของเราอย่างต่อเนื่อง ด้วยการอัปเดตล่าสุดที่กระชับการควบคุมว่าเอเจนต์สามารถเขียนไฟล์ได้ที่ใด และขยายการทดสอบมาตรการป้องกันเหล่านั้นในแพลตฟอร์มต่างๆ"

แถลงการณ์นั้นยืนยันการแก้ไขและไม่ได้กล่าวถึงกลไกใด ๆ เลย มันไม่ได้บอกว่าการเปลี่ยนแปลงในเดือนสิงหาคมได้ลบรูปแบบการออกแบบออกไป หรือได้ปิดเส้นทางเฉพาะสองเส้นทางที่ออกจากรูปแบบนั้นหรือไม่ ไม่มีใครนอก OpenAI พูดเช่นนั้นเช่นกัน

สิ่งที่ได้รับการยืนยันแล้วคืออะไร และสิ่งใดที่ขึ้นอยู่กับนักวิจัยเพียงคนเดียว

คลังเอกสารบันทึกรายการนี้ไว้เป็นข้อค้นพบจากการวิจัย ระดับความรุนแรงสูง ภูมิภาคทั่วโลก ระดับความเชื่อมั่น B — มีเอกสารยืนยัน แต่มาจากแหล่งเดียวหรือแหล่งทุติยภูมิ — ไม่มีข้อโต้แย้ง และไม่มีการบันทึกอันตรายที่เกิดขึ้นจริง ระดับดังกล่าวเป็นเลนส์ที่เหมาะสมสำหรับการอ่านส่วนที่เหลือของบทความนี้ เพราะเส้นแบ่งระหว่างสิ่งที่หลายฝ่ายยืนยันกับสิ่งที่ผู้ค้นพบเพียงลำพังกล่าวอ้างนั้นพาดผ่านเรื่องราวทั้งหมด

ได้รับการยืนยันแล้ว ในความหมายที่ว่ามีมากกว่าหนึ่งฝ่ายกล่าวเช่นนั้น:

• การเปิดเผยข้อมูลดังกล่าวมีอยู่และระบุวันที่ไว้ บทความของ Yomtov ได้รับการเผยแพร่เมื่อวันที่ 15 กันยายน 2026; ข้อบกพร่องทั้งสองถูกรายงานต่อ OpenAI เมื่อวันที่ 12 สิงหาคม 2026 และตามคำบอกเล่าของเขา ถูกแก้ไขภายในแปดวัน

• OpenAI ยืนยันว่าได้ดำเนินการในเดือนสิงหาคม โฆษกของบริษัทกล่าวกับ BleepingComputer ว่าปัญหาทั้งสองได้รับการแก้ไขแล้ว ซึ่งช่วยยืนยันไทม์ไลน์การรายงานและการแก้ไขโดยเป็นอิสระจากผู้ค้นพบ แม้ว่าบริษัทจะไม่ได้เผยแพร่ประกาศแจ้งเตือนหรือรายละเอียดทางเทคนิคใด ๆ ของตนเองก็ตาม

• เวอร์ชันที่แก้ไขแล้วได้รับการระบุไว้อย่างสอดคล้องกัน โดย Accomplish ระบุ Build 26.818.21641 สำหรับ Codex Desktop และเวอร์ชัน 0.149.0 สำหรับ Codex CLI ซึ่ง BleepingComputer รายงานซ้ำ และปรากฏอยู่ในประกาศคำแนะนำด้านความปลอดภัยลงวันที่ 22 กันยายน 2026 จาก Uganda National Computer Emergency Response Team and Coordination Center ซึ่งให้คะแนนทั้งสองรายการว่า "Red"

• ไม่มี CVE ไม่มีคำแนะนำจากผู้จำหน่าย และไม่มีการรายงานการนำไปใช้ประโยชน์ บันทึกของ Cloud Security Alliance ลงวันที่ 22 กันยายน 2026 ระบุว่าไม่มีทั้ง CVE และคำแนะนำเฉพาะจาก OpenAI และรายงานว่าไม่มีกรณีที่ได้รับการยืนยันว่าองค์กรใดพบกลไกการคงอยู่ของ Overpatch อยู่ในระบบ

• คลังข้อมูลไม่ได้โต้แย้งเรื่องใด ๆ ในนั้นเลย บันทึกถูกทำเครื่องหมายว่าสถานะโต้แย้งเป็นเท็จ และเกรดความเชื่อมั่นของบันทึกสะท้อนรูปแบบการอ้างอิงแหล่งที่มา มากกว่าความเห็นต่างใด ๆ เกี่ยวกับข้อเท็จจริง

ไม่ได้รับการยืนยัน หรือได้รับการยืนยันโดยไม่มีใครนอกจากผู้พบ:

• รายละเอียดของกลไกเป็นของ Yomtov — heap-snapshot oracle, shared file descriptor, parent-directory grant ทั้งหมดมาจาก write-up และ proof of concept ของเขา Cloud Security Alliance ซึ่งบันทึกขององค์กรเป็นสรุปจากบุคคลที่สามที่ละเอียดที่สุดในบรรดาที่เผยแพร่อยู่ อธิบายว่าสรุปสังเคราะห์จากคำบอกเล่าของเขาและการรายงานของ BleepingComputer และไม่ได้ระบุว่าได้ทำซ้ำ exploit ตัวใดตัวหนึ่งหรือทดสอบ fix ตัวใดตัวหนึ่ง คำแนะนำของ CERT.UG รวบรวมเนื้อหาเดียวกัน

• ไม่เคยมีการเผยแพร่ช่วงเวอร์ชันที่มีช่องโหว่เลย มีเพียงระบุเวอร์ชันที่แก้ไขแล้วเท่านั้น จึงไม่มีรายการว่าบิลด์ก่อนหน้าใดบ้างที่มีข้อบกพร่องแต่ละรายการ

• ยังไม่มีการระบุว่าการติดตั้งที่แพตช์แล้วจะปลอดภัยจากบั๊กประเภทนี้ หรือปลอดภัยเพียงจากสองกรณีนี้เท่านั้น คำกล่าวของ OpenAI ที่ว่า “การเสริมความแข็งแกร่งแซนด์บ็อกซ์ของเราอย่างต่อเนื่อง” เป็นคำมั่นทั่วไป ไม่ใช่ข้อกล่าวอ้างเกี่ยวกับกลไกเฉพาะเจาะจง

• ยังไม่มีรายงานว่ามีใครใช้ช่องโหว่ใดช่องโหว่หนึ่งจากสองช่องโหว่นี้เพื่อโจมตี นั่นคือการไม่มีรายงาน ไม่ใช่ข้อสรุปว่ามันไม่มีอยู่จริง และ proof of concept แสดงให้เห็นว่าเส้นทางของ Heapjack ไม่ทิ้งสิ่งใดไว้บนหน้าจอให้ผู้ใช้สังเกตเห็นได้

สิ่งที่ผู้ใช้สามารถลงมือทำได้

ใครก็ตามที่ใช้ Codex Desktop build ที่เก่ากว่า 26.818.21641 หรือ Codex CLI เวอร์ชันที่เก่ากว่า 0.149.0 ถือว่าอยู่ในฝั่งที่มีช่องโหว่ของเส้นแบ่งที่ Accomplish กำหนดไว้ และการอัปเดตเป็นวิธีแก้เพียงอย่างเดียวที่การเปิดเผยข้อมูลครั้งนี้เสนอ นอกจากนั้น Cloud Security Alliance แนะนำให้ตรวจสอบเซสชัน Codex Desktop ที่ผ่านมาซึ่งเกี่ยวข้องกับรีโพซิทอรีที่ไม่น่าเชื่อถือ เพื่อหา launchd หรือกิจกรรมที่เปิดอยู่ และการเชื่อมต่อ Docker socket รวมถึงอ่านไฟล์เริ่มต้นของเชลล์ — .zshrc, .bashrc และไฟล์เทียบเท่า — เพื่อหาคำสั่งที่ถูกเพิ่มต่อท้ายซึ่งผู้ใช้ไม่ได้เขียนเอง

บันทึกเดียวกันนี้แนะนำไม่ให้ถือว่าโหมดอ่านอย่างเดียวเป็นมาตรการป้องกันเมื่อที่เก็บโค้ดไม่น่าเชื่อถือ ซึ่งเป็นข้อสรุปที่ Heapjack บังคับให้เกิดขึ้นเอง คำแนะนำเชิงโครงสร้างของมันไปไกลกว่านั้น: การแยกกระบวนการและหน่วยความจำทางกายภาพแทนการใช้ความลับร่วมและธรรมเนียมปฏิบัติ การเก็บข้อมูลรับรองไว้นอกเหนือการเข้าถึงของเอเจนต์ และการถือว่าแพตช์ที่อ้างอิงพาธภายนอกโปรเจกต์เป็นสิ่งน่าสงสัยทันที สิ่งเหล่านี้เป็นข้อเสนอจากบุคคลที่สาม ไม่เป็นที่เปิดเผยว่า OpenAI ได้นำข้อเสนอใด ๆ เหล่านี้ไปใช้หรือไม่ นอกเหนือจากการเพิ่มเลขเวอร์ชันสองครั้ง

สุดท้ายนี้มีสองสิ่งที่ควรแยกออกจากกัน สิ่งหนึ่งคือบั๊กหนึ่งคู่ในเอเจนต์เขียนโค้ดที่ใช้กันอย่างแพร่หลาย ซึ่งถูกรายงานเมื่อวันที่ 12 สิงหาคม 2026 แก้ไขภายในแปดวัน และปิดในหมายเลขบิลด์สองตัว อีกสิ่งหนึ่งคือคำถามเชิงการออกแบบที่ Yomtov กล่าวถึง — ว่าแซนด์บ็อกซ์จะถูกบังคับใช้ได้หรือไม่โดยโค้ดที่มันมีหน้าที่กักเก็บไว้ — และคำถามนั้นไม่ใช่สิ่งที่หมายเลขเวอร์ชันจะตอบได้ ทั้ง Accomplish และ OpenAI ต่างไม่ได้กล่าวว่าการเปลี่ยนแปลงในเดือนสิงหาคมได้ยุติคำถามนี้