Lỗ hổng OpenAI Codex: Nguy hiểm Command Injection đánh cắp GitHub

Việc tích hợp các tác nhân mã hóa AI đã giới thiệu các bề mặt tấn công mới, có tác động cao cho các nhóm phát triển. Gần đây, Phantom Labs tại BeyondTrust đã phát hiện một lỗ hổng OpenAI Codex nghiêm trọng, cho phép thực thi lệnh tùy ý thông qua kỹ thuật command injection. Lỗ hổng này đã tạo điều kiện cho kẻ tấn công đánh cắp các GitHub User Access Token nhạy cảm, làm nổi bật nguy cơ tiềm ẩn khi các công cụ AI tương tác sâu với môi trường phát triển.

Tổng Quan Về Lỗ Hổng OpenAI Codex và Cơ Chế Khai Thác

OpenAI Codex là một trợ lý mã hóa dựa trên đám mây, được thiết kế để kết nối trực tiếp với các kho lưu trữ GitHub của nhà phát triển. Khi người dùng gửi một yêu cầu (prompt), Codex sẽ khởi tạo một container được quản lý để thực hiện các tác vụ như tạo mã hoặc phân tích kho lưu trữ.

Trong quá trình thiết lập container, các nhà nghiên cứu của BeyondTrust đã phát hiện rằng hệ thống đã không thực hiện vệ sinh đầu vào đúng cách. Cụ thể, tham số tên nhánh GitHub trong yêu cầu HTTP POST đã được truyền trực tiếp vào các tập lệnh thiết lập của môi trường thực thi.

Kỹ Thuật Command Injection Qua Tên Nhánh GitHub

Kẻ tấn công có thể lợi dụng điều này bằng cách tiêm một lệnh shell vào tên nhánh. Ví dụ, một payload độc hại có thể buộc hệ thống xuất GitHub OAuth token ẩn vào một tệp văn bản có thể đọc được.

Sau đó, kẻ tấn công có thể yêu cầu tác nhân Codex đọc tệp đó, làm lộ mã token ở dạng văn bản rõ ràng trực tiếp trong giao diện web. Đây là một dạng command injection cổ điển, nơi đầu vào không được kiểm soát từ người dùng được thực thi trực tiếp bởi hệ thống phía máy chủ.

Mức độ nghiêm trọng của lỗ hổng OpenAI Codex này được đánh giá là Critical, cho phép kẻ tấn công thực thi mã tùy ý và truy cập thông tin nhạy cảm. Điều này có thể dẫn đến việc chiếm quyền kiểm soát đáng kể trên các tài nguyên GitHub.

# Ví dụ minh họa về tên nhánh độc hại (được đơn giản hóa)# Tên nhánh sẽ được truyền vào một lệnh shell, ví dụ: git checkout <BRANCH_NAME># Kẻ tấn công có thể tiêm lệnh bằng cách sử dụng các ký tự đặc biệt như dấu chấm phẩy (;).# Payload tiêm lệnh có thể trông như sau:# my_legit_branch; cat /path/to/sensitive/token > /tmp/token_steal.txt; echo "done"# Để vượt qua các hạn chế đặt tên nhánh của GitHub và che giấu, kẻ tấn công sử dụng:# 1. Các bộ phân tách trường nội bộ (Internal Field Separator - IFS) thay cho khoảng trắng.# 2. Unicode Ideographic Spaces (U+3000) để ẩn payload khỏi giao diện người dùng.# Ví dụ thực tế có thể phức tạp hơn, giả định tên nhánh đã được xử lý:# my_main_branch ;cat$IFS/path/to/token>/tmp/exfil.txt some_harmless_text# Sau khi payload được ghi vào file, kẻ tấn công có thể yêu cầu Codex đọc file /tmp/exfil.txt

Phạm Vi Tấn Công: Nhiều Vectơ Khai Thác

Nguy hiểm của lỗ hổng OpenAI Codex này không chỉ dừng lại ở cổng thông tin web. Các nhà nghiên cứu đã phát hiện ra các vectơ tấn công khác, mở rộng phạm vi ảnh hưởng của nó.

Đánh Cắp Thông Tin Xác Thực Cục Bộ

Các ứng dụng Codex dành cho máy tính để bàn cũng lưu trữ thông tin xác thực cục bộ trong một tệp xác thực. Nếu kẻ tấn công giành được quyền truy cập vào máy của nhà phát triển chạy Windows, macOS hoặc Linux, họ có thể đánh cắp các session token cục bộ này.

Bằng cách sử dụng các token cục bộ bị xâm nhập để xác thực với API backend, kẻ tấn công có thể truy xuất toàn bộ lịch sử tác vụ của người dùng. Quyền truy cập backend này cho phép họ trích xuất các GitHub access tokens được ẩn sâu trong nhật ký tác vụ container.

Cuộc tấn công cũng có thể được tự động hóa để xâm nhập nhiều người dùng mà không cần tương tác với giao diện Codex. Điều này nhấn mạnh sự cần thiết phải bảo mật cả môi trường làm việc cục bộ và các điểm cuối API.

Tấn Công Nhánh Độc Hại Tự Động Hóa

Một phương thức tấn công đặc biệt nguy hiểm liên quan đến việc tạo một nhánh độc hại trực tiếp trong một kho lưu trữ GitHub dùng chung. Bằng cách này, kẻ tấn công có thể kích hoạt khai thác chống lại bất kỳ ai sử dụng Codex trên cơ sở mã cụ thể đó.

Để vượt qua các hạn chế đặt tên nhánh của GitHub, kẻ tấn công đã thay thế các khoảng trắng bằng một payload chứa một bộ phân tách trường nội bộ. Họ cũng khéo léo ẩn payload độc hại khỏi giao diện người dùng bằng cách sử dụng Unicode Ideographic Spaces. Đối với một nạn nhân không nghi ngờ, nhánh độc hại xuất hiện giống hệt nhánh chính tiêu chuẩn.

Khi người dùng hoặc một quy trình tự động tương tác với nhánh này, payload sẽ được thực thi âm thầm ở chế độ nền, gửi GitHub token của họ đến một máy chủ bên ngoài do kẻ tấn công kiểm soát. Cuộc tấn công nhánh tự động này cũng có hiệu quả đối với các yêu cầu kéo (pull requests) tự động.

Khi một nhà phát triển gắn thẻ bot Codex để thực hiện xem xét mã trên một yêu cầu kéo, hệ thống sẽ khởi tạo một container xem xét mã. Nếu kho lưu trữ chứa nhánh được đặt tên độc hại, container tự động sẽ thực thi payload ẩn, cho phép kẻ tấn công đánh cắp GitHub Installation Access token rộng hơn.

Tác Động Nghiêm Trọng và Các Hệ Thống Bị Ảnh Hưởng

Lỗ hổng OpenAI Codex này được đánh giá là nghiêm trọng, ảnh hưởng đến nhiều thành phần trong hệ sinh thái của OpenAI và các môi trường phát triển liên quan. Các hệ thống và ứng dụng cụ thể bị ảnh hưởng bao gồm:

• Website ChatGPT
• Codex CLI (Command Line Interface)
• Codex SDK (Software Development Kit)
• Codex IDE Extensions (Các tiện ích mở rộng tích hợp vào môi trường phát triển)

Việc chiếm quyền điều khiển các GitHub access token có thể dẫn đến đánh cắp dữ liệu GitHub nhạy cảm, sửa đổi mã nguồn trái phép, hoặc thậm chí là chèn mã độc vào các dự án đang phát triển. Điều này đe dọa nghiêm trọng đến tính toàn vẹn và bảo mật của chuỗi cung ứng phần mềm và có thể dẫn đến rò rỉ dữ liệu diện rộng.

Chỉ Số Thỏa Hiệp (IOCs) và Đối Tượng Dữ Liệu Bị Đánh Cắp

Trong trường hợp khai thác lỗ hổng OpenAI Codex này, các chỉ số thỏa hiệp (Indicators of Compromise – IOCs) chính sẽ tập trung vào các loại dữ liệu bị đánh cắp và các phương thức được sử dụng để che giấu tấn công.

• Các loại Token và Thông tin Xác thực bị đánh cắp:
  • GitHub User Access Tokens: Mã thông báo truy cập được cấp cho người dùng GitHub.
  • GitHub OAuth Tokens: Mã thông báo được sử dụng cho việc ủy quyền OAuth trên GitHub.
  • Local Session Tokens: Mã thông báo phiên được lưu trữ cục bộ bởi các ứng dụng desktop Codex.
  • GitHub Installation Access Tokens: Mã thông báo truy cập được cấp cho các ứng dụng GitHub đã cài đặt, thường có quyền rộng hơn.
• Dấu hiệu kỹ thuật trên GitHub và Môi trường Codex:
  • Sự tồn tại của các tên nhánh chứa payload độc hại được ẩn bằng Unicode Ideographic Spaces (U+3000) hoặc các ký tự đặc biệt khác.
  • Lịch sử tác vụ của Codex chứa các lệnh đọc hoặc xuất dữ liệu nhạy cảm đến các vị trí không mong muốn.
  • Tệp nhật ký container có chứa GitHub access tokens hoặc các thông tin xác thực nhạy cảm khác ở dạng văn bản rõ ràng.
• Hoạt động mạng đáng ngờ:
  • Kết nối đi không mong muốn từ môi trường Codex đến các địa chỉ IP hoặc miền không xác định, đặc biệt là các kết nối xuất dữ liệu (data exfiltration) qua các giao thức HTTP/HTTPS.

Công Tác Khắc Phục và Khuyến Nghị Bảo Mật Thiết Yếu

OpenAI đã nhận được thông báo tiết lộ có trách nhiệm về lỗ hổng OpenAI Codex này vào tháng 12 năm 2025 và đã vá lỗi hoàn toàn vào cuối tháng 1 năm 2026. Mặc dù đây không phải là một zero-day vulnerability kéo dài trên thị trường công khai, nhưng tầm quan trọng của việc xử lý kịp thời là rất rõ ràng.

Khi các trợ lý mã hóa AI ngày càng được nhúng sâu vào quy trình làm việc của nhà phát triển, các tổ chức phải coi các container tác nhân là các ranh giới bảo mật nghiêm ngặt. Các nhóm phát triển và bảo mật nên áp dụng các thực hành sau để giảm thiểu rủi ro từ các lỗ hổng tương tự:

• Kiểm tra đầu vào nghiêm ngặt: Đảm bảo rằng tất cả đầu vào từ người dùng hoặc từ các nguồn bên ngoài được vệ sinh và xác thực triệt để trước khi được xử lý hoặc sử dụng trong các lệnh shell.
• Nguyên tắc đặc quyền tối thiểu (Least Privilege): Giới hạn quyền hạn của các tác nhân AI và các container của chúng chỉ ở mức cần thiết để thực hiện chức năng. Tránh cấp quyền truy cập rộng rãi vào các tài nguyên nhạy cảm như GitHub access tokens.
• Giám sát và ghi nhật ký toàn diện: Triển khai giám sát mạnh mẽ các hoạt động của tác nhân AI và container. Ghi nhật ký chi tiết các lệnh được thực thi, truy cập tệp và hoạt động mạng để phát hiện các hành vi bất thường.
• Bảo vệ thông tin xác thực: Không lưu trữ thông tin xác thực nhạy cảm như GitHub tokens ở dạng văn bản rõ ràng, đặc biệt trong các tệp tạm thời hoặc nhật ký. Sử dụng các giải pháp quản lý bí mật an toàn (secret management solutions) chuyên dụng.
• Cập nhật và vá lỗi định kỳ: Thường xuyên cập nhật và vá các công cụ AI, SDK và môi trường phát triển để đảm bảo rằng tất cả các lỗ hổng đã biết đều được khắc phục kịp thời.
• Đào tạo nhận thức về bảo mật: Đào tạo các nhà phát triển về các rủi ro bảo mật liên quan đến việc sử dụng các công cụ AI và cách nhận biết các dấu hiệu của một cuộc tấn công.

Thông tin chi tiết về lỗ hổng này có thể được tìm thấy trên blog của BeyondTrust: OpenAI Codex Command Injection Vulnerability.