**两次逃出 OpenAI Codex 沙箱：Overpatch 与 Heapjack**

_Escaping the OpenAI Codex sandbox, twice_

> 安全研究者 Oren Yomtov 披露了 OpenAI Codex 沙箱的两个逃逸漏洞，均已于 2026 年 8 月 12 日上报并在 8 天内修复。其一是 Overpatch，影响开源 Codex CLI：apply\_patch 会把补丁中每个路径的父目录都授予写权限，只要在补丁里写 /tmp 就等于把整个磁盘开放；攻击者借此通过符号链接向 $HOME 追加 .zshrc，在正常的 workspace-write 模式下无任何审批提示地写入，之后打开终端即以非沙箱方式执行。其二是 Heapjack，影响 Codex Desktop 安装的 JS 工具：受信任与不受信任的 V8 上下文共享同一 Node 堆和 stdout 管道，不受信任代码可用 v8.getHeapSnapshot() 快照堆并爆破出随机令牌，再伪造 JSON 请求发给未沙箱的原生 Rust 父进程，从而在只读这一最严格模式下实现非沙箱命令执行，甚至调用 open 启动应用或连接 Docker 等 unix socket。两者都无需用户授权，仅需在 Codex 中打开一个克隆的仓库提问即可被触发。

**来源信息**
- **来源**：Hacker News：AI 热帖
- **分类**：ai-products
- **发布时间**：2026-09-22 09:29（北京时间）
- **原文**：[打开原文](https://accomplish.ai/blog/escaping-the-openai-codex-sandbox-twice)