案例 codex-branch-name-injection代理劫持2026年3月31日美国

OpenAI Codex分支名命令注入在云任务中暴露GitHub令牌

BeyondTrust发现Codex在克隆仓库时未净化GitHub分支名，因此精心构造的请求可在任务容器中运行shell命令并窃取GitHub令牌。OpenAI于2026年2月5日修复。

高针对 AI 的攻击状态: 已修补已核实案例档案

在交互式地图中打开引用此案例

报道日期: 2026年3月31日
地点: 美国
目标: OpenAI Codex（网页版、CLI、SDK、IDE扩展）
严重程度: 高
发起者: BeyondTrust Phantom Labs
行为者类型: 安全研究人员
已报告损失: 未报告
CVE: 无

发生了什么

BeyondTrust发现Codex在克隆仓库时未净化GitHub分支名，因此精心构造的请求可在任务容器中运行shell命令并窃取GitHub令牌。OpenAI于2026年2月5日修复。

影响: 可能窃取令牌并在共享仓库间横向移动；未报告利用

谁发起了攻击

行为者: BeyondTrust Phantom Labs

归因: 2025年12月16日报告给OpenAI；披露前已修复

动机: 安全研究

如何发生

攻击途径: 通过未验证的分支名参数进行命令注入，并用Unicode混淆在界面中隐藏载荷

根本原因: Codex任务运行器用不可信输入构造shell命令

时间线

2025年12月16日BeyondTrust报告漏洞
2026年2月5日OpenAI修补输入验证
2026年3月31日公开披露

应对

OpenAI收紧了分支名验证并加固了命令构造

当前状态: 已修补

来源（在新标签页打开）

CSO Online csoonline.com
Hackmag hackmag.com

引用此案例

OpenAI Codex分支名命令注入在云任务中暴露GitHub令牌. AI Threat Watch, 案例 codex-branch-name-injection, 2026年3月31日. https://aithreat.io/zh/cases/codex-branch-name-injection/

永久链接: https://aithreat.io/zh/cases/codex-branch-name-injection/