• 全部
  • 产业
  • Web 3.0
  • DAO
  • DeFi
  • 符文
  • 空投再质押
  • 以太坊
  • Meme
  • 比特币L2
  • 以太坊L2
  • 研报
  • 头条
  • 投资

免责声明:内容不构成买卖依据,投资有风险,入市需谨慎!

OpenAI Codex漏洞修复……npm分发权限访问路径重现

2026-11-12 02:08:43
收藏

OpenAI Codex自动化分类流程中的权限链漏洞分析

研究人员重现了一条攻击路径,该路径从OpenAI的Codex自动分类工作流开始,最终获得对npm发布权限的访问能力。这条攻击链路涉及多个自动化步骤以及管理员删除版本(Release)的操作。

利用GitHub Issue触发Prompt Injection

安全公司Depi在11日发布的技術報告中指出,攻击起点是GitHub Issue的自动分类功能。该功能旨在当新Issue被创建时,由Codex阅读标题和正文,并建议合适的分类标签。

研究人员发现,外部人员可以通过提交特定的Issue来触发这一自动分类流程。核心风险在于,Issue的内容可能会被直接作为指令传递给Codex模型。

为此,研究人员在Issue正文中嵌入了看似属于自动分类系统内部指令的文本,诱导Codex执行诊断命令。这些命令代码经过压缩和编码处理,采用了“Prompt Injection”(提示注入)技术,即通过隐藏在外部数据中的指令来改变AI的行为。

突破隔离环境获取Token

最初,这些命令仅在Codex的隔离执行环境中运行。该环境严格限制了网络连接和文件写入范围,旨在防止恶意操作。

然而,研究人员利用了GitHub执行器将诊断通道暴露于临时目录的缺陷。通过这一途径,他们成功从执行器进程的内存中提取了用于自动化工作的Token,并将其作为输出结果返回。需要强调的是,此次攻击的目标并非窃取Codex用户的密码,而是获取自动化工作流的访问权限。

横向移动至npm发布权限

获得上述权限后,研究人员能够向GitHub Actions缓存中植入恶意文件。当其他工作流程恢复该缓存并执行文件时,可能会影响拥有更高级别权限的工作流。

报告进一步展示了如何利用伪造的Codex版本发布,并通过管理员删除该版本时触发的特定事件,来获取npm发布所需的认证信息。

这并不意味着仅凭一个公开的Issue就能直接导致恶意包发布。该攻击路径需要串联多个自动化步骤及管理员的操作行为。npm采用的“信任基础发布”机制允许在不长期存储GitHub等自动化平台分发令牌的情况下,通过身份验证发布软件包。研究人员揭示的路径表明,在到达最终发布步骤之前,自动化工作流的权限可能发生连锁泄露。

现状与修复

npm是JavaScript软件包的托管仓库。如果攻击者获得发布权限,理论上可以在开发者视为正常更新的包中植入恶意代码。但Depi的报告指出,目前尚未发现恶意的Codex版本已被实际发布并分发给用户的情况。

Depi已通过漏洞赏金计划向OpenAI报告了该问题,OpenAI已修复了核心漏洞。目前,公开可用的Codex Issue分类配置中,已包含限制工作空间为只读模式的选项,以增强安全性。

免责声明:

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证,网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用,不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责,与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容,并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文
更多新闻
自选
我的自选
查看全部
市值 价格 24h%