Betroffen ist ein Adapter-Werkzeug, das die Codex-Kommandozeile ansteuert und dabei einen sogenannten Tool-Relay betreibt: Über diesen Kanal dürfen Werkzeuge aufgerufen werden, die vom Host bereitgestellt werden. Die Autorisierung dieser Anfragen war fehlerhaft umgesetzt. In einer Rückfall-Prüfung unter Linux wurde lediglich anhand der Kommandozeile eines Prozesses entschieden, ob dieser berechtigt ist – enthielt sie den Pfad eines erlaubten Hilfsskripts, galt die Anfrage als legitim. Dadurch kann nicht vertrauenswürdiger Code, der innerhalb der Sandbox läuft – etwa eine manipulierte Abhängigkeit, ein Build-Skript oder ein Lifecycle-Hook – beliebige vom Host freigegebene Werkzeuge aufrufen, ohne dass ein entsprechender, vom Modell autorisierter Werkzeugaufruf vorliegt. Möglich werden so unter anderem das Auslesen von Geheimnissen, Deployment-Aktionen und Aufrufe von Cloud-APIs. Voraussetzung ist eine aktive Sitzung mit mindestens einem host-bereitgestellten Werkzeug. In der korrigierten Fassung entfällt die pfadbasierte Prüfung; Relay-Anfragen werden nur nach exakter, kurzlebiger Einmal-Autorisierung akzeptiert. Als Behelf sollten keine nicht vertrauenswürdigen Repositorien oder Abhängigkeiten verarbeitet und freigegebene Werkzeuge auf unkritische Operationen beschränkt werden.