Forskare rapporterar två vägar ut ur OpenAI Codex sandlåda

Säkerhetsforskare rapporterade två sätt att ta sig ut ur OpenAI Codex sandlåda. Det ena kunde köra kommandon på en utvecklares dator från Codex mest låsta läge, utan någon godkännandeförfrågan eller synlig aktivitet på skärmen.

Enligt Oren Yomtov från Accomplish AI rapporterades båda bristerna till OpenAI den 12 augusti och åtgärdades inom åtta dagar. Den allvarligare bristen, som forskarna kallar Heapjack, riktade sig mot node_repl, som Codex Desktop skriver till den globala filen ~/.codex/config.toml. Forskarna sade att opålitlig JavaScript-kod kunde läsa en betrodd token ur minnet i den gemensamma Node.js-processen och sedan använda den för att skicka begäranden till en osandlådad överordnad process.

Ett proof of concept använde systemets open-kommando för att starta ett program helt utanför Codex processträd. Samma åtkomst kunde enligt forskarna nå Unix-uttag, däribland ett Docker-daemonuttag.

Den andra bristen, Overpatch, fanns i den öppna Codex CLI-klienten i läget workspace-write. Forskarna sade att apply_patch kunde få en patch som utökade skrivbehörigheten och lade till en rad i .zshrc via en symbolisk länk. Accomplish uppgav att OpenAI åtgärdade Heapjack i Codex Desktop-version 26.818.21641 och Overpatch i Codex CLI 0.149.0. BleepingComputer sade att redaktionen hade kontaktat OpenAI för en kommentar.