OpenAI Codex: Forscher entkommen zweimal aus der Sandbox
Sicherheitsforscher von Accomplish AI haben zwei unterschiedliche Wege gefunden, Schutzgrenzen der OpenAI-Codex-Sandbox zu umgehen. Die Schwachstellen wurden nach Angaben der Forscher am 12. August 2026 an OpenAI gemeldet und innerhalb von acht Tagen behoben. Besonders relevant ist der Fund, weil Codex gerade beim Arbeiten mit fremdem oder automatisch erzeugtem Code auf die Isolation der Sandbox angewiesen ist.
Zwei Angriffswege mit unterschiedlicher Wirkung
Die Forscher nennen die beiden Techniken „Overpatch“ und „Heapjack“. Overpatch betraf die Open-Source-Codex-CLI: Eine manipulierte Änderung konnte dem Patch-Werkzeug Schreibzugriff außerhalb des vorgesehenen Arbeitsbereichs verschaffen. Heapjack zielte dagegen auf ein JavaScript-Werkzeug der Codex-Desktop-App und ermöglichte laut Bericht Befehlsausführung außerhalb der eigentlich besonders restriktiven Umgebung.
Der entscheidende Punkt ist nicht, dass jede Codex-Nutzung automatisch gefährdet gewesen wäre. Die Funde zeigen vielmehr, wie wichtig eine saubere Trennung zwischen vertrauenswürdigem Werkzeugcode und potenziell untrusted Projektinhalten bei agentischen Coding-Systemen ist.
OpenAI schloss beide Lücken schnell
Accomplish AI zufolge waren beide Schwachstellen spätestens acht Tage nach der Meldung behoben. Wer Codex aktuell nutzt, sollte deshalb vor allem darauf achten, CLI und Desktop-App auf einem aktuellen Stand zu halten. Für Entwickler bleibt außerdem sinnvoll, fremde Repositories und automatisch erzeugte Änderungen nicht unnötig mit weitreichenden Dateisystemrechten auszuführen.
Das Thema passt zu einer breiteren Diskussion über das Verhalten leistungsfähiger KI-Agenten. Computer4You hat zuletzt auch über OpenAIs neues Transparenzsystem für problematisches Modellverhalten berichtet.
Warum Sandbox-Sicherheit bei Coding-Agenten besonders wichtig ist
Coding-Agenten lesen Dateien, verändern Quellcode und führen Befehle aus. Dadurch ist die technische Isolation keine Komfortfunktion, sondern ein zentraler Teil des Sicherheitsmodells. Eine Schwachstelle in dieser Grenze kann im ungünstigsten Fall dafür sorgen, dass Inhalte aus einem Projekt Zugriff auf Bereiche des Systems erhalten, die eigentlich geschützt sein sollen.
Quelle: Accomplish AI – Escaping the OpenAI Codex sandbox, twice.
