Без пісочниці
sandbox_mode = "danger-full-access" у config.toml чи профілі або default_permissions = ":danger-full-access".
AI-агенти для коду · Codex CLI
Що Codex CLI може робити без дозволу і як це закрити
Вирішують два налаштування: пісочниця каже, до чого команда може торкнутися, політика підтверджень - коли Codex зупиняється спитати. Обидва цього року змінилися: --full-auto прибрали, профілі тепер окремі файли.
~/.codex/config.toml −ризиковано+виправлено−approval_policy = "never"−sandbox_mode = "danger-full-access"+approval_policy = "on-request"+sandbox_mode = "workspace-write"
Де Codex тримає налаштування
~/.codex на будь-якій ОС; CODEX_HOME переносить її. Файли проєкту вантажаться лише після того, як ти довіриш проєкту.
| Рівень | Файл | Що там |
|---|---|---|
| Ти | ~/.codex/config.toml | approval_policy, sandbox_mode, MCP-сервери, notify, довірені проєкти. |
| Профілі | ~/.codex/<name>.config.toml | Шар, що обирається --profile. Таблиці [profiles.x] у config.toml тепер ігноруються. |
| Цей проєкт | .codex/config.toml | Налаштування проєкту, лише в довірених. |
| Правила команд | ~/.codex/rules/*.rules | Відповіді «завжди дозволяти»: ці команди йдуть поза пісочницею. |
| Інструкції | ~/.codex/AGENTS.mdAGENTS.md | Текст, що додається до кожної сесії. |
| Адмін | /etc/codex/requirements.toml | Обмеження, які ти не перекриєш. |
Що він може робити без дозволу
approval_policy і sandbox_mode у config.toml або -a і -s у командному рядку.
| Налаштування | Що робить |
|---|---|
sandbox_mode = "read-only" | Читає файли й запускає команди лише для читання. |
sandbox_mode = "workspace-write" | Читає, змінює й запускає команди в проєкті; без мережі, якщо не ввімкнеш. |
sandbox_mode = "danger-full-access" | Без пісочниці: команди читають і змінюють усе, що можеш ти. |
approval_policy = "on-request" | Модель вирішує, коли спитати; дозволене пісочницею йде. |
approval_policy = "never" | Ніколи не питає. Пісочниця діє. |
--yolo | Псевдонім --dangerously-bypass-approvals-and-sandbox: без підтверджень, без пісочниці, живий вебпошук. |
Шість речей для перевірки
Ніколи не питає
approval_policy = "never". Разом із вимкненою пісочницею ніхто нічого не підтверджує.
Прапорець bypass в аліасі
codex --dangerously-bypass-approvals-and-sandbox чи codex --yolo в аліасі shell, скрипті, хуку чи команді MCP.
Ключі в config.toml
Токен в env, http_headers, args чи URL MCP-сервера. Краще bearer_token_env_var чи env_vars.
Запити йдуть деінде
notify запускає програму після кожного ходу; openai_base_url шле кожен запит на інший сервер.
Старі відповіді в обхід пісочниці
prefix_rule(..., decision = "allow") у ~/.codex/rules/default.rules, записане, коли ти обрав «завжди дозволяти».
Як закрити
У ~/.codex/config.toml. Потім видали таблиці [profiles.*] і approval_policy = "untrusted": цю політику прибрали, і вона може не дати Codex запуститися.
approval_policy = "on-request" approvals_reviewer = "user" sandbox_mode = "workspace-write" web_search = "cached" [sandbox_workspace_write] network_access = false [shell_environment_policy] ignore_default_excludes = false
Codex питає, перш ніж вийти за межі проєкту чи в мережу, на запити відповідаєш ти, а команди не отримують твоїх змінних *KEY*, *SECRET* чи *TOKEN*.
Або перевір усе одразу
Для Codex NeuroShield читає config.toml і профілі (з урахуванням CODEX_HOME), .codex/config.toml кожного проєкту, скіли й аліаси shell: вимкнену пісочницю, «ніколи не питає», прапорці bypass, ключі в MCP-серверах і запити деінде.
Лише читає
Читає файли налаштувань і ніколи не запускає агентів, їхні MCP-сервери чи скрипти.
Нічого не покидає комп'ютер
Перевірка йде локально. Без акаунта, без завантаження, без AI всередині: фіксовані опубліковані правила.
Нічого не змінюється без твого «ок»
Де є безпечне виправлення, Fix It for Me робить його після підтвердження, з копією і Undo.
Питання
Що робить codex --yolo?
Це псевдонім --dangerously-bypass-approvals-and-sandbox: без підтверджень, без пісочниці, живий вебпошук. Документація радить лише в зовнішньо захищеному середовищі.
--full-auto ще є?
Ні, його прибрали. Використовуй --sandbox workspace-write або --approve-for-me, щоб віддати запити агенту-рецензенту.
Де конфіг Codex?
~/.codex/config.toml (Windows: C:\Users\<you>\.codex\config.toml). CODEX_HOME переносить його.
Подивись на своїх агентів
Перевірка безкоштовна: скільки в тебе агентів і що вони можуть. Деталі й виправлення - у Shields.