OpenAI Codex自动化分类流程中的权限链漏洞分析
研究人员重现了一条攻击路径,该路径从OpenAI的Codex自动分类工作流开始,最终获得对npm发布权限的访问能力。这条攻击链路涉及多个自动化步骤以及管理员删除版本(Release)的操作。
利用GitHub Issue触发Prompt Injection
安全公司Depi在11日发布的技術報告中指出,攻击起点是GitHub Issue的自动分类功能。该功能旨在当新Issue被创建时,由Codex阅读标题和正文,并建议合适的分类标签。
研究人员发现,外部人员可以通过提交特定的Issue来触发这一自动分类流程。核心风险在于,Issue的内容可能会被直接作为指令传递给Codex模型。
为此,研究人员在Issue正文中嵌入了看似属于自动分类系统内部指令的文本,诱导Codex执行诊断命令。这些命令代码经过压缩和编码处理,采用了“Prompt Injection”(提示注入)技术,即通过隐藏在外部数据中的指令来改变AI的行为。
突破隔离环境获取Token
最初,这些命令仅在Codex的隔离执行环境中运行。该环境严格限制了网络连接和文件写入范围,旨在防止恶意操作。
然而,研究人员利用了GitHub执行器将诊断通道暴露于临时目录的缺陷。通过这一途径,他们成功从执行器进程的内存中提取了用于自动化工作的Token,并将其作为输出结果返回。需要强调的是,此次攻击的目标并非窃取Codex用户的密码,而是获取自动化工作流的访问权限。
横向移动至npm发布权限
获得上述权限后,研究人员能够向GitHub Actions缓存中植入恶意文件。当其他工作流程恢复该缓存并执行文件时,可能会影响拥有更高级别权限的工作流。
报告进一步展示了如何利用伪造的Codex版本发布,并通过管理员删除该版本时触发的特定事件,来获取npm发布所需的认证信息。
这并不意味着仅凭一个公开的Issue就能直接导致恶意包发布。该攻击路径需要串联多个自动化步骤及管理员的操作行为。npm采用的“信任基础发布”机制允许在不长期存储GitHub等自动化平台分发令牌的情况下,通过身份验证发布软件包。研究人员揭示的路径表明,在到达最终发布步骤之前,自动化工作流的权限可能发生连锁泄露。
现状与修复
npm是JavaScript软件包的托管仓库。如果攻击者获得发布权限,理论上可以在开发者视为正常更新的包中植入恶意代码。但Depi的报告指出,目前尚未发现恶意的Codex版本已被实际发布并分发给用户的情况。
Depi已通过漏洞赏金计划向OpenAI报告了该问题,OpenAI已修复了核心漏洞。目前,公开可用的Codex Issue分类配置中,已包含限制工作空间为只读模式的选项,以增强安全性。

交易所
交易所排行榜
24小时成交排行榜
人气排行榜
交易所比特币余额
交易所资产透明度证明
去中心化交易所
资金费率
资金费率热力图
爆仓数据
清算最大痛点
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
ETF追踪
索拉纳ETF
瑞波币ETF
香港ETF
比特币持币公司
加密资产反转
以太坊储备
HyperLiquid钱包分析
Hyperliquid鲸鱼监控
大额转账
链上异动
比特币回报率
稳定币市值
期权分析
新闻
文章
财经日历
专题
钱包
合约计算器
账号安全
资讯收藏
自选币种
我的关注