L’article ne peut pas être activé avec JavaScript. Vous pouvez également activer JavaScript dans votre navigateur et sur la nouvelle page.
Un thread Codex enregistré qui a repris à froid a construit son proxy réseau à partir des autorisations par défaut configurées de la machine, plutôt que des autorisations avec lesquelles le thread lui-même a été enregistré. OpenAI a fusionné le correctif dans la branche principale du Codex le 12 octobre, dans une demande d’extraction provenant d’une adresse du personnel d’OpenAI à 16:01:44 UTC.
OpenAI expose le problème dans le texte « Pourquoi » du commit : « La restauration des autorisations de thread sans nom après le chargement de la configuration laisse l’initialisation du proxy réseau et la validation des autorisations en utilisant la valeur par défaut configurée. Un thread enregistré en lecture seule doit également reprendre lorsque cette valeur par défaut est incompatible avec les exigences gérées actuelles.
Le problème était donc l’ordre des opérations. Les autorisations ont été restaurées après le chargement de la configuration, auquel cas le proxy et la vérification des autorisations ont été configurés par défaut. Le correctif applique les profils d’autorisation enregistrés éligibles lors du chargement de la configuration, avant la préparation du réseau et la validation finale, tout en conservant les remplacements d’autorisation explicites et les exigences gérées faisant autorité. Il préserve les restrictions de refus de lecture gérées et rejette les applications externes enregistrées ou les subventions matérialisées du système de fichiers plutôt que de les restaurer. Dix fichiers ont été modifiés, avec 147 insertions et 52 suppressions, lors du chargement de la configuration, de la gestion des sessions et du traitement des requêtes du serveur d’applications du Codex.
Un nouveau test reprend un thread en lecture seule sur une machine à accès complet
Un deuxième commit a atterri 39 minutes plus tard, à 16:40:11 UTC, ajoutant 276 lignes de couverture de régression qui ne fonctionnent que sous Linux. Son commentaire d’en-tête indique la règle que le correctif est censé appliquer : « La reprise à froid doit initialiser le proxy en direct à partir des autorisations restaurées du thread. »
Ce que fait le test, c’est le scénario lui-même. Il reprend un fil de discussion enregistré en lecture seule après que les autorisations par défaut ont été modifiées en : danger-full-access, puis vérifie que le proxy réseau en direct honore les autorisations restaurées, demande l’approbation lorsqu’un nouvel hôte apparaît, conserve la règle approuvée et la réutilise sans demander à nouveau. Il vérifie également que les requêtes proxy réussissent tandis que l’accès direct reste bloqué.
C’est la partie qu’un utilisateur du Codex peut reconnaître. Un fil de discussion enregistré avec des autorisations en lecture seule est enregistré de cette façon pour une raison, et la machine sur laquelle vous y revenez n’est peut-être pas celle sur laquelle vous l’avez laissé. Codex CLI 0.162.0 a corrigé un autre aspect du même problème le 9 octobre, où un fichier de configuration ripgrep pouvait démasquer les chemins refusés par le bac à sable. Celui-là concernait la lecture de fichiers ; celui-ci consiste à atteindre le réseau.
Rien ici n’est dans une version expédiée
Les deux changements existent sur main et nulle part ailleurs. Le Codex publié le plus récent est la version 0.162.1 du 9 octobre, qui est antérieure aux deux validations, donc aucune version que vous pouvez installer aujourd’hui ne contient non plus. Il n’y a pas de CVE, pas d’avis et pas de bulletin de sécurité. OpenAI n’a pas qualifié cela de vulnérabilité, et rien dans les deux commits n’indique que quelqu’un a été affecté ni depuis combien de temps le comportement existe.
Les deux commits portent un GitOrigin-RevId, ce qui signifie qu’ils sont mis en miroir hors du référentiel interne d’OpenAI plutôt qu’écrits dans le référentiel public. Pour l’instant, le changement se situe sur main, et une future version du Codex est l’endroit où il atteindra la machine de n’importe qui.