연구진, OpenAI 'Codex' 샌드박스 탈출로 호스트 명령 실행 취약점 노출

보안 연구진, OpenAI ‘Codex’ 샌드박스 두 가지 방식으로 탈출해 호스트 명령 실행 취약점 노출

Accomplish AI 소속 연구진은 OpenAI 코드 개발 도구 ‘Codex Desktop’과 ‘Codex CLI’에서 샌드박스를 빠져나가는 두 가지 기법을 찾아 2026년 8월 12일 보고했고, OpenAI는 8일 내 패치를 적용했다.
첫 번째 취약점 ‘Heapjack’은 Codex Desktop 설치 시 자동 활성화되는 ‘node_repl’ 구성요소를 악용해 신뢰·비신뢰 자바스크립트가 동일 Node.js 힙을 공유하게 만들고, 공격 코드는 v8.getHeapSnapshot()으로 힙을 덤프해 신뢰 컨텍스트의 UUID 토큰을 추출한다.
연구진에 따르면 공격자는 악성 저장소를 열고 코드 질문만 던져도, 가장 엄격한 읽기 전용 모드에서 승인 창 없이 개발자 PC에서 셸 명령 실행, Docker 소켓 접근 등 호스트 수준 원격 코드 실행을 유도해 ‘AI 코드 비서’가 사실상 공격 통로로 전환된다.
두 번째 취약점 ‘Overpatch’는 오픈소스 ‘Codex CLI’의 apply_patch 도구가 패치 경로의 상위 디렉터리까지 쓰기 권한을 줘, /tmp를 패치 대상으로 지정하고 홈 디렉터리로 향하는 심볼릭 링크를 통해 .zshrc에 명령을 추가하면, 다음 터미널 실행 시 샌드박스 밖에서 공격자 명령이 자동 실행된다.
OpenAI는 Codex Desktop 26.818.21641, Codex CLI 0.149.0에서 두 취약점을 수정했으나, 연구진은 Cursor, Gemini CLI, Antigravity 등 다른 AI 코딩 에이전트에서도 유사한 ‘구성 기반 샌드박스 탈출’ 패턴을 확인해, 개발 환경 전반의 AI 도구 신뢰 모델과 엔드포인트 방어 재점검 필요성을 제기했다.
AI 코딩 에이전트가 국내 개발·운영 환경에 빠르게 확산되는 상황에서, 한국 정책 담당자는 샌드박스 규제·가이드라인을 ‘AI 도구가 쓰는 파일과 연동 도구’까지 확장하고, DevSecOps 보안 기준과 공공·국방 개발 환경에 대한 도입·인증 체계를 마련해 AI 개발 보조 도구를 관리형 보안 대상으로 분류할 필요가 있다.

AI 코딩 에이전트는 샌드박스 안의 행동만 관리해선 안전을 보장할 수 없다. 한국 정책 담당자는 개발 환경 전체를 하나의 공격 표면으로 보고, 공공·핵심 인프라 개발에 사용되는 AI 도구에 대해 최소 보안 기준·인증·로그 의무를 설정하는 방향으로 신속히 제도 설계를 착수해야 한다.

주요 용어: 샌드박스(실행 코드의 권한과 접근 범위를 제한하는 격리 실행 환경), 원격 코드 실행(RCE·공격자가 피해자의 시스템에서 임의 코드를 실행하는 취약점)

출처: BleepingComputer