Codex a Claude Code zpřísnily ochranu tokenů a pravidla sandboxu
Codex 0.147 začal v zobrazených příkazech a obnovené historii skrývat celé bearer tokeny. Claude Code 2.1.224 opravil obcházení zákazu čtení cestou s koncovým lomítkem a doplnil maskování JWT a podpisů AWS. Ani jeden projekt změny neoznačuje číslem CVE ani neuvádí, že byly zneužity.
OpenAI a Anthropic vydaly 7. srpna nové verze svých agentních nástrojů pro práci s kódem. Codex 0.147 mění zacházení s tajnými údaji v zobrazených příkazech a historii. Claude Code 2.1.224 opravuje pravidlo sandboxu, které šlo na Linuxu a macOS obejít koncovým lomítkem v cestě.
Nejde o jednu společnou chybu. Obě vydání ale ukazují stejný provozní problém: agent má přístup k příkazům, souborům a často i k přihlašovacím údajům. Ochrana proto musí fungovat při samotném přístupu, při zobrazení výsledku i při pozdějším obnovení sezení.
Codex skrývá celé bearer tokeny i v obnovené historii
První oprava Codexu zavádí zakrytí tajných údajů v poli s příkazem a v rozpoznaných akcích. Platí pro živě zobrazené položky, dokončené příkazy i znovu přehrávanou historii vlákna. Žádost o schválení dál pracuje s původním příkazem, uživatelské rozhraní však dostane jeho zakrytou podobu.
Druhá změna se týká bearer tokenů, tedy přihlašovacích řetězců, u nichž zpravidla stačí samotné držení k použití. RFC 6750 je proto přirovnává k heslu a požaduje ochranu při uložení i přenosu. Původní vzor v Codexu nepočítal se všemi znaky používanými v URL a Base64 ani s volitelným doplněním na konci. Část přihlašovacího údaje tak mohla po zakrytí zůstat viditelná.
Nová verze zpracuje celý bearer token dřív, než začne hledat užší tvary klíčů OpenAI a AWS. Oprava zachovává oddělovač za tokenem a nemá brát krátké řetězce nebo slova, která jen začínají podobně. Její hranice je podstatná: brání zobrazení tajemství v rozhraní a historii, ale nemění původní příkaz, který se skutečně spustí.
Claude Code opravuje zákaz čtení zakončený lomítkem
Poznámky k vydání Claude Code 2.1.224 popisují chybu přímo na příkladu denyRead: "~/.aws/". Zákaz čtení adresáře zapsaný s koncovým lomítkem šlo na Linuxu a macOS tiše obejít. Anthropic neuvádí, zda se chyba týkala všech starších verzí, ani cestu, kterou se obcházela. Windows v tomto bodě nejmenuje.
Tutéž verzi doprovázejí nové volby pro maskování přihlašovacích údajů v sandboxu. Umějí vybrat citlivou část ze strukturované proměnné prostředí, rozpoznat JWT a skrýt zvolené položky uvnitř tokenu nebo znovu podepsat požadavek AWS SigV4. Nejde o automatickou ochranu každého spuštění: volby vyžadují ukončení šifrovaného spojení uvnitř síťového prostředníka (network.tlsTerminate) a Claude Code je přijímá jen z uživatelského či spravovaného nastavení nebo z přepínače --settings.
Další pojistka míří na zprávy mezi sezeními. Když zpráva přichází do sezení spuštěného s obejitými oprávněními, nové volby crossSessionInbound a dialogExpiry ji mohou podržet ke schválení. Tím se omezuje situace, kdy jedno sezení předá druhému pokyn a příjemce ho provede s širšími právy.
Předchozí vydání opravovalo jiné cesty kolem oprávnění
Verze 2.1.224 přišla den po Claude Code 2.1.223. Ta opravovala příkaz sestavený tak, aby část skryl před kontrolou oprávnění, neviditelné znaky v potvrzovacím dialogu a dynamický import, kterým mohl kód opustit sandbox pracovního postupu. Nový problém s lomítkem tedy není přejmenovaná starší oprava, ale další samostatná hranice.
Codex vedle zakrývání tokenů zpřísnil běh Agent Plugins. Odmítá konfiguraci MCP, která není běžným souborem nebo po vyhodnocení cesty leží mimo kořen pluginu, omezuje množství textu a nástrojů předávaných modelu a zastaví přesměrování MCP či OAuth požadavku nesoucího autorizační hlavičku. Symbolické odkazy se při instalaci pluginu nekopírují.
Poznámky k vydání nepopisují skutečný útok
Ani jedna strana nepřipojila k těmto změnám číslo CVE, hodnocení závažnosti nebo informaci o zneužití. Z veřejných záznamů proto nejde tvrdit, že někdo tokeny z historie získal nebo zákaz čtení zneužil proti cizímu počítači. Jisté je užší tvrzení: předchozí vzory Codexu mohly ponechat část bearer tokenu viditelnou a Claude Code dovolil na dvou systémech obejít konkrétně zapsané pravidlo.
Aktualizace sama také nenahradí kontrolu nastavení. U Codexu se vyplatí projít, které příkazy dostávají tajné údaje ještě před spuštěním; zakrytý výpis není zákaz přístupu. U Claude Code je potřeba hledat zákazy cest s koncovým lomítkem a ověřit, zda je nové maskování vůbec zapnuté. Rozdíl mezi ochranou zobrazení a vynucením přístupu je právě místo, kde obě čerstvé opravy začínají, ne kde bezpečnost agentů končí.