Vulnerabilidades Críticas Permitem Fuga de Sandbox no OpenAI Codex

A fuga de sandbox no OpenAI Codex revela duas falhas críticas, apelidadas de Overpatch e Heapjack. Ambas demonstram um padrão de ataque preocupante: a lógica de enforcement ou as credenciais sensíveis ficam no mesmo ambiente que se pretende restringir. A vulnerabilidade Overpatch explorou o utilitário apply_patch do Codex CLI. O agente de IA conseguia manipular a ferramenta para conceder permissões de escrita em locais além da pasta de trabalho, como o diretório raiz. Isso acontecia ao adicionar uma linha no patch que, por exemplo, nomeava /tmp, enganando a ferramenta a expandir o escopo da permissão de escrita.

Já a falha Heapjack residia na aplicação desktop do Codex. Dentro de um único processo Node.js, existiam dois contextos V8, um confiável e outro não confiável, compartilhando o mesmo heap de memória. O contexto confiável guardava um token secreto para autenticação. O código não confiável, executando mesmo no modo de sandbox mais restrito (somente leitura), conseguia tirar um snapshot do heap e extrair esse token. Com o token em mãos, o agente podia forjar requisições ao processo pai Rust, desprotegido, e executar comandos externos, como iniciar aplicações sem qualquer aprovação. Esse cenário sublinha a importância de isolar completamente as informações de segurança da área de execução de código não confiável, algo que soluções como a da Accomplish buscam resolver ao rodar o agente em uma VM separada e tratar tudo dentro dela como não confiável.

Esta nova descoberta no OpenAI Codex mostra uma evolução clara nos ataques de fuga de sandbox contra ferramentas de desenvolvimento com IA. Em 21 de julho de 2026, o CEVIU News já havia alertado sobre um padrão onde a manipulação da lógica interna era a chave para burlar sandboxes, e agora vemos essa teoria confirmada com detalhes técnicos específicos no Codex. O que antes era uma preocupação sobre um padrão de vulnerabilidade em várias plataformas se materializa com explorações concretas.

Também notamos uma reincidência de problemas com tokens. A cobertura de 31 de março de 2026 já falava de uma "Vulnerabilidade de Token do Codex no GitHub". Agora, a falha Heapjack expõe novamente um problema com tokens, mas dessa vez de um heap JavaScript compartilhado dentro da sandbox do Codex, mostrando que a proteção de credenciais sensíveis em ambientes de IA ainda é um desafio persistente. A rápida correção em apenas oito dias, contudo, demonstra a agilidade da OpenAI em responder a falhas críticas.

A segurança de ferramentas de desenvolvimento baseadas em IA é um tema crítico para qualquer profissional. Essas vulnerabilidades de fuga de sandbox não são apenas falhas teóricas; elas representam riscos reais de execução de código remoto (RCE) nos sistemas dos desenvolvedores. Um agente de IA comprometido pode, sem aviso, obter acesso irrestrito ao sistema host, o que abre as portas para exfiltração de dados, instalação de malware ou manipulação do código-fonte de projetos.

A natureza dessas falhas ressalta a complexidade de construir ambientes isolados eficazes quando a própria ferramenta precisa interagir extensivamente com o sistema. Incidente após incidente, como os reportados anteriormente no Cursor IDE, DeepSeek Harness e ChatGPT, reforçam a mensagem: é fundamental para os desenvolvedores entenderem os riscos e para os fornecedores de IA investirem em arquiteturas de segurança robustas, priorizando a separação rigorosa entre código confiável e não confiável, e a execução em ambientes verdadeiramente isolados, como máquinas virtuais.