Исследователи обошли песочницу OpenAI Codex и выполнили команды на хост-машине

Песочницы (sandbox) — ключевой механизм защиты, призванный изолировать потенциально опасные операции ИИ-агентов, работающих с кодом, от основной системы пользователя. Однако, как показало новое исследование, изоляция в OpenAI Codex оказалась не абсолютной: специалистам удалось вырваться за её пределы и выполнить произвольные команды на хост-машине.

Подробности

Исследователи обнаружили два независимых метода обхода sandbox в OpenAI Codex. Наиболее серьёзный из них позволял выполнить команды на машине разработчика даже при работе в самом строгом режиме изоляции — то есть в конфигурации, которая по замыслу должна блокировать любые взаимодействия с хост-системой. Второй метод также приводил к выходу за пределы песочницы. Точные технические детали эксплойтов, а также идентификаторы CVE в исходном сообщении BleepingComputer не раскрываются. Не указаны и конкретные версии продукта, подверженные уязвимостям. Известно лишь, что обе проблемы затрагивали механизм изоляции Codex и позволяли обойти ограничения, накладываемые на выполнение команд. OpenAI была уведомлена о находках и выпустила патчи, закрывающие оба вектора атаки. Таким образом, на текущий момент уязвимости считаются устранёнными, однако детали исправлений компания публично не раскрывала.

Что делать

Поскольку OpenAI уже выпустила исправления, основная рекомендация — убедиться, что вы используете актуальную версию Codex и всех связанных компонентов. Если обновления устанавливаются автоматически, стоит проверить их применение вручную. Разработчикам, использующим ИИ-агентов для работы с кодом, целесообразно придерживаться принципа наименьших привилегий: запускать такие инструменты в изолированных окружениях (контейнерах, виртуальных машинах), ограничивать их доступ к файловой системе и сетевым ресурсам, а также не предоставлять им учётные данные с широкими правами. Учитывая, что песочницы ИИ-инструментов становятся новой поверхностью атаки, организациям стоит включить подобные компоненты в программы управления уязвимостями и регулярно отслеживать обновления безопасности от вендоров. Итог: случай наглядно демонстрирует, что даже продуманная изоляция ИИ-агентов не гарантирует абсолютной защиты — своевременное обновление и минимизация привилегий остаются базовыми мерами безопасности.

Источник: BleepingComputer