חוקרים חשפו שתי דרכים לפרוץ מהסנדבוקס של OpenAI Codex ולהריץ פקודות על המחשב המארח

חוקר אבטחה חשף שתי טכניקות נפרדות, שכינה Heapjack ו-Overpatch, לפריצה מהסנדבוקס המבודד של OpenAI Codex — כלי הקידוד מבוסס הבינה המלאכותית של OpenAI — והרצת פקודות ישירות על המחשב שמריץ אותו, גם מהמצב המבודד ביותר של הכלי. OpenAI תיקנה את שתי הבעיות.

המחשה לקובייה שקופה שנסדקת עם קוד בורח ממנה

מזהה	לא פורסם (לא הוקצה CVE)
מוצר וגרסאות מושפעות	Codex Desktop לפני בילד 26.818.21641 (Heapjack); Codex CLI לפני גרסה 0.149.0 (Overpatch)
חומרה (CVSS)	לא פורסם
מנוצל בפועל	לא — חשיפת מחקר, ללא דיווח על ניצול בזדון
סטטוס תיקון	תוקן; OpenAI שחררה עדכון לשני הכלים בתוך כשמונה ימים מקבלת הדיווח

מה קרה

Heapjack, החמורה מבין השתיים, מנצלת את העובדה שהקשרי הרצה נפרדים של JavaScript בתוך תהליך Node.js אחד חולקים בפועל אותו מרחב זיכרון (heap), שממנו ניתן היה לשלוף אסימון אימות. כתוצאה מכך, עצם פתיחת מאגר קוד זר ב-Codex ושאילת שאלה על הקוד שבו יכלה להעניק לבעל אותו מאגר הרצת פקודות ללא בידוד על המחשב של מי שפתח אותו. Overpatch מנצלת את הכלי הפנימי שאחראי על החלת תיקוני קוד (apply_patch), שגוזר הרשאות כתיבה מנתיבים שסופקו על ידי המשתמש או המאגר עצמו — מה שמאפשר לחרוג מהגבלת הכתיבה לתיקיית העבודה, לכתוב לתיקיית הבית דרך קישור סימבולי, ולהריץ קוד בפעם הבאה שנפתח מסוף.

החוקר, אורן יומטוב מחברת Accomplish AI, דיווח על שתי הבעיות ל-OpenAI ב-12 באוגוסט 2026, ולדבריו החברה תיקנה את שתיהן תוך כשמונה ימים. הפרטים המלאים פורסמו לציבור באמצע ספטמבר, לאחר תקופת גילוי אחראי.

נקודות לשים לב

אם אתם משתמשים ב-Codex Desktop או ב-Codex CLI, ודאו עדכון לגרסאות 26.818.21641 ו-0.149.0 בהתאמה, או מאוחר יותר.
עד לעדכון, הימנעו מפתיחת מאגרי קוד ממקורות לא מוכרים ב-Codex — Heapjack מופעלת פשוט על ידי שאילת שאלה על קוד שכתב גורם עוין.
הסנדבוקס של כלי קידוד מבוססי AI נועד להגן בדיוק על התרחיש הזה — קוד לא מהימן שנפתח בסביבת פיתוח. שתי הטכניקות מזכירות שגם "המצב המבודד ביותר" של כלי כזה תלוי בפרטי מימוש שיכולים להישבר.
אין דיווח על ניצול בזדון בשטח, ולא נגרם נזק ידוע למשתמשים — מדובר בחשיפת מחקר שתוקנה לפני הפרסום הציבורי.

מקורות: BleepingComputer