OpenAI ha rilasciato Codex rust-v0.151.0 alle 09:55 UTC del 29 agosto. Sotto la voce Bug Fixes compaiono cinque elementi che non sono bug fix nel senso ordinario del termine: sono correzioni dei confini del sandbox e dei permessi.

La voce sul cambio di directory

La più chiara afferma che la release ha "impedito a `/cd` di indebolire le restrizioni del sandbox." Il problema descritto è strutturale: un sandbox è normalmente ancorato a una working directory, e un comando che sposta quell’ancora può allargare l’enclosure che dovrebbe definire. Se l’utente può spostare il confine, può farlo anche qualsiasi cosa sia in grado di indurre l’agente a eseguire il comando — e, in uno strumento che legge file di repository e pagine web, si tratta di una vasta gamma di input.

La voce sull’obsolescenza

Una seconda voce riguarda classificazioni che sono rimaste autorizzanti dopo che lo stato dei permessi era cambiato. Un utente che rafforza i permessi nel corso di una sessione si aspetterebbe che il rafforzamento venga applicato; le decisioni memorizzate in cache facevano sì che non accadesse, per le azioni già classificate. I sistemi di permessi vengono giudicati esattamente su questo: se la revoca diventa effettiva immediatamente.

Cosa sbaglia l’inquadramento comune

La voce Bug Fixes invita i lettori a considerare questi problemi come difetti ordinari, e la scarna cronologia degli avvisi del progetto — un solo advisory in assoluto — porta a concludere che il suo sandbox sia stato tranquillo. Il confronto che chiarisce il punto è con un concorrente: la classe di escape legata alla working directory è stata trattata come ad alta severità, con un advisory pubblicato, da un altro vendor all’inizio di quest’anno. Stessa classe, diversa decisione di disclosure. Un registro di advisory esiguo dice qualcosa sulla pratica di disclosure di un progetto, non sul suo tasso di difetti, e le due cose vengono regolarmente confuse.

Il quadro della giornata

Due dei più grandi agenti di coding hanno distribuito correzioni dei confini del sandbox a distanza di quindici ore l’uno dall’altro, entrambi nelle note di rilascio e nessuno attraverso un canale di sicurezza. Qualunque siano i meriti dei singoli casi, per chi monitora centralmente questi strumenti l’effetto è lo stesso: il feed di sicurezza è il changelog.