A investigação da Check Point revelou que o OpenAI Codex CLI carregava e executava automaticamente configurações locais do projeto, incluindo servidores MCP (Model Context Protocol), sem qualquer pedido de aprovação ou validação ao utilizador. A CPR demonstrou que um atacante poderia incluir um ficheiro .env que redirecionasse o CODEX_HOME para uma pasta local, e, nessa pasta, incluir um ficheiro de configuração (.codex/config.toml) com payloads sofisticados, como reverse shells, que eram executados silenciosamente. Isto significava que um simples pull request poderia transformar-se num backdoor permanente e invisível numa equipa inteira de desenvolvimento.
O impacto desta vulnerabilidade é de grande alcance e atinge diretamente a camada de desenvolvimento, onde residem as chaves de acesso mais sensíveis. A falha abria portas para a exposição de chaves API e credenciais SSH, exfiltração de dados sensíveis e ficheiros de código, e a manipulação de pipelines CI/CD. Estes ataques poderiam, inclusivamente, levar à introdução de código malicioso em produção e a movimentos laterais para infraestruturas críticas ou sistemas cloud, comprometendo ambientes regulados (como financeiro ou saúde) com risco de incumprimento de normas como o PCI-DSS, SOX e GDPR.
Segundo Oded Vanunu, Chief Technologist da Check Point, esta vulnerabilidade leva a ameaça para um novo território, pois os atacantes já não necessitam de invadir infraestruturas, dependendo apenas da forma como o Codex confiava automaticamente nos ficheiros presentes no repositório. O risco é sistémico, dada a crescente adoção de ferramentas de IA no desenvolvimento, com mais de 90% dos programadores a utilizá-las diariamente. O modelo de confiança implícita nas ferramentas de IA acelera processos, mas também amplifica vulnerabilidades, tornando ficheiros operacionais em pontos de entrada para ataques invisíveis e persistentes.
A vulnerabilidade foi comunicada à OpenAI a 7 de agosto de 2025 e corrigida rapidamente. A correção foi disponibilizada na versão 0.23.0 do Codex CLI, lançada a 20 de agosto de 2025, bloqueando a capacidade de redirecionar o CODEX_HOME para diretórios do projeto e impedindo execuções automáticas indesejadas. A Check Point recomenda que todas as organizações atualizem imediatamente para esta versão e revisitem as suas políticas de segurança para projetos colaborativos, validação de ficheiros de configuração e controlo de acesso a pipelines CI/CD.
