OpenAI Codex solucionó recientemente dos vulnerabilidades de seguridad críticas, denominadas Overpatch y Heapjack, que permitían que repositorios maliciosos ejecutaran comandos en el sistema local de un desarrollador. El fallo más grave, Heapjack, ocurría cuando un desarrollador accedía a un repositorio controlado por un atacante. Ambos problemas fueron reportados el 12 de agosto de 2026 y resueltos en menos de una semana.

OpenAI Codex se enfrentó recientemente a dos vulnerabilidades de seguridad significativas que permitían que repositorios maliciosos pudieran ejecutar comandos en el sistema local de un desarrollador.

Estas vulnerabilidades, identificadas como Overpatch y Heapjack, fueron reportadas a OpenAI el 12 de agosto de 2026 y se solucionaron en menos de una semana.

El problema más crítico, Heapjack, surgió cuando un desarrollador accedía a un repositorio controlado por un atacante en Codex y consultaba al agente sobre su contenido.

Este fallo podría provocar la ejecución de comandos sin ningún aviso de aprobación ni advertencia, incluso cuando Codex funcionaba en su modo estricto de sandbox de solo lectura.

Overpatch fue identificado dentro de la CLI de código abierto de Codex y su herramienta de edición apply_patch. En un escenario ideal, Codex debería restringir las modificaciones de archivos únicamente al directorio activo del proyecto.

Sin embargo, se descubrió que la herramienta apply_patch otorgaba permisos basados en los directorios padres especificados en un parche enviado. Al incorporar un directorio llamado /tmp en un parche, la herramienta podía extender erróneamente el acceso de escritura comenzando desde el directorio raíz, superando las limitaciones del espacio de trabajo previstas.

Una prueba de concepto demostró esta vulnerabilidad empleando un enlace simbólico para añadir un comando malicioso al archivo .zshrc del usuario ubicado en el directorio home.

Aunque este intento de parche específico que involucraba /tmp falló porque pretendía sobrescribir un directorio, aun así amplió inadvertidamente los permisos de escritura de archivos de la herramienta.

Como resultado, cuando el usuario abría posteriormente una terminal, la configuración de la shell modificada podía ejecutar código controlado por el atacante fuera del sandbox de Codex.

Fallos del Sandbox de OpenAI Codex

Este incidente enfatiza que los límites de seguridad no deben determinarse por rutas proporcionadas por contenido no confiable. Dado que un atacante puede influir en el contenido del parche, existe el riesgo de que una solicitud de edición pueda otorgar acceso a áreas fuera de la carpeta del proyecto, lo que llevaría a una posible explotación.

Heapjack afectó a la herramienta node_repl instalada por Codex Desktop. Tras la instalación, Codex Desktop escribía un bloque de configuración en el archivo global ~/.codex/config.toml, habilitando la disponibilidad del componente para las sesiones regulares de la CLI de Codex.

La herramienta funcionaba con un proceso padre escrito en Rust y un proceso Node.js en sandbox. En esta configuración, tanto el código confiable de OpenAI como el código no confiable controlado por el agente operaban dentro de contextos de máquina virtual V8 separados. El contexto confiable contenía un token de autorización aleatorio destinado a verificar que las solicitudes provinieran de fuentes confiables.

La vulnerabilidad surgió del hecho de que ambos contextos compartían el mismo aislado de V8 y el heap de memoria. Una entidad de JavaScript no confiable podía tomar una instantánea del heap y buscar cadenas similares a UUID para localizar el token válido.

Una vez identificado, podía enviar solicitudes falsificadas a través del canal de salida estándar compartido al proceso padre fuera del sandbox. Estas solicitudes falsificadas podrían invocar potencialmente el comando open del sistema, permitiendo que las aplicaciones se lancen fuera de la estructura de procesos prevista de Codex.

Además, el mecanismo de autorización comprometido podría permitir interacciones con sockets de Unix, incluyendo el socket del demonio de Docker, o modificaciones al archivo de configuración global de Codex.

OpenAI respondió rápidamente a estas vulnerabilidades, solucionando Overpatch en la versión 0.149.0 de Codex CLI y Heapjack en la compilación 26.818.21641 de Codex Desktop.

Se te aconseja que actualices tanto la aplicación de escritorio como el cliente de línea de comandos, especialmente si interactúas frecuentemente con repositorios clonados, de terceros o no confiables.

En última instancia, estas vulnerabilidades sirven como recordatorio de las preocupaciones de seguridad generales relacionadas con los agentes de IA: la lógica de aplicación y la información sensible deben permanecer aisladas de los entornos controlados por código no confiable.

Debes considerar un sandbox como un medio para mitigar el riesgo más que como una garantía absoluta de que el contenido de repositorios desconocidos sea seguro.

Es crucial que trates los repositorios no confiables con precaución, mantengas actualizadas las versiones de Codex y no confíes únicamente en el modo de solo lectura como protección contra la posible ejecución de código impulsada por agentes.