OpenAI verstärkt Codex-Sicherheitsvorkehrungen mit neuen Bereinigungs- und Berechtigungskontrollen gegen destruktive Operationen
Nach der Untersuchung mehrerer Berichte über destruktive Operationen, die über die Absichten der Nutzer hinausgingen, hat OpenAI die Sicherheitskontrollen von Codex aufgerüstet.
Das Problem liegt nicht darin, dass der KI-Programmieragent Befehle ausführen kann – genau das ist der Kernwert von Codex. Das Risiko entsteht, wenn ein Agent mit weitreichenden Berechtigungen Bereinigungs- oder Dateiverwaltungsoperationen ausführt und dabei die Zielpfade falsch interpretiert.
Laut Thibault „Tibo" Sottiaux, Leiter der Codex-Entwicklung bei OpenAI, hat das Unternehmen eine kleine Anzahl von Fällen untersucht, in denen GPT-5.6 in Codex destruktive Operationen ausführte, die über den angeforderten Umfang hinausgingen. Ein wiederkehrendes Muster betraf die Bereinigung temporärer Verzeichnisse, insbesondere bei Sitzungen mit weitreichenden Zugriffsrechten und geringerem Sandbox-Schutz.
Die neuesten Gegenmaßnahmen von OpenAI setzen gleich auf mehreren Ebenen an:
- Validierung der Löschziele vor destruktiven Operationen;
- Verwendung spezieller temporärer Verzeichnisse anstelle der Wiederverwendung sensibler Umgebungsvariablen;
- Verstärkte Erkennung und Überprüfung von Hochrisikobefehlen;
- Erschwerung der versehentlichen Aktivierung des „Vollzugriffs"-Modus;
- Verbesserung der automatischen Überprüfung, um destruktive Operationen zuverlässiger zu erkennen;
- Neue Evaluierungs- und Trainingsaufgaben basierend auf vom Team beobachteten Fehlerfällen.
Der entscheidende Wandel ist keine einfache Verbotsliste. OpenAI verschärft gleichzeitig die Anweisungen an das Modell und die umgebende Ausführungsumgebung.
Untersuchung konzentriert sich auf die Bereinigung temporärer Verzeichnisse
Die Untersuchung von OpenAI ergab, dass einige destruktive Fehlfunktionen mit der Bereinigungslogik temporärer Arbeitsverzeichnisse zusammenhängen.
Programmieragenten erstellen bei der Arbeit häufig temporäre Speicherorte. Aufgaben können das Entpacken von Archiven, das Erzeugen von Zwischendateien, das Ausführen von Tests, das Zwischenspeichern von Patches oder das Erstellen einmaliger Build-Artefakte umfassen. Das spätere Bereinigen dieser Dateien ist in der Regel sicher.
Gefahr entsteht, wenn Variablen, die temporäre Verzeichnisse kennzeichnen, mehrdeutig sind, wiederverwendet werden, fehlerhaft formatiert sind oder versehentlich auf wichtige Speicherorte zeigen.
Sottiaux beschrieb ein Fehlermuster: Das Modell verwendet Systemumgebungsvariablen wie $HOME als temporäres Arbeitsverzeichnis. Wenn ein nachfolgender Bereinigungsbefehl diese Variable falsch interpretiert, könnte ein Befehl, der eigentlich ein temporäres Verzeichnis löschen soll, auf das tatsächliche Benutzerverzeichnis zeigen.
Diese Fehlerkette lässt sich auf hoher Ebene wie folgt verstehen:
Erstellen oder Identifizieren eines temporären Arbeitsbereichs
↓
Wiederverwendung einer breiten Systemvariable
↓
Konstruktion eines Bereinigungsbefehls
↓
Auflösung eines falschen Zielpfads
↓
Ausführung einer destruktiven Operation mit weitreichenden Berechtigungen
↓
Löschen von Dateien, die außerhalb des erwarteten Umfangs liegen
In einer unbegrenzten Sitzung ist dieses Risiko besonders schwerwiegend.
In einer strikt eingeschränkten Sandbox-Umgebung kann das Betriebssystem verhindern, dass fehlerhafte Befehle unzusammenhängende Verzeichnisse erreichen. Im Vollzugriffsmodus wird diese Grenze bewusst entfernt, sodass Pfadauflösungsfehler deutlich größere Auswirkungen haben können.
Die aktuelle Codex-Dokumentation von OpenAI macht diesen Unterschied deutlich: Der reguläre Modus workspace-write beschränkt alltägliche Bearbeitungen auf den aktuellen Arbeitsbereich,
während danger-full-access die Sandbox-Grenzen für Dateisystem und Netzwerk entfernt.
Codex prüft destruktive Ziele jetzt expliziter
Die erste wesentliche Maßnahme ist eine stärkere Zielvalidierung vor Lösch- oder ähnlichen destruktiven Operationen.
Codex behandelt die Bereinigung nicht mehr als routinemäßigen letzten Schritt, sondern wird ausdrücklich angewiesen, zu bestätigen, dass der Zielpfad tatsächlich der Pfad ist, den es ändern möchte.
Dies ist wichtig, weil destruktive Shell-Befehle in der Regel nur dann sicher sind, wenn die Argumente korrekt sind.
Beispielsweise kann der Unterschied zwischen dem Löschen eines speziellen temporären Verzeichnisses und dem Löschen des übergeordneten Arbeitsbereichs nur eine falsche Variablenerweiterung, ein Referenzierungsfehler, ein Pfadnormalisierungsproblem oder ein fehlendes Argument sein.
Der neue Ansatz reduziert die Abhängigkeit von impliziten Annahmen.
Vor der Ausführung riskanter Dateisystemoperationen sollte das System sorgfältiger über folgende Fragen nachdenken:
- Welches Verzeichnis wird von diesem Befehl tatsächlich betroffen sein?
- Handelt es sich um einen für diese Aufgabe erstellten temporären Speicherort?
- Liegt der Pfad innerhalb des erwarteten Arbeitsbereichs?
- Ist das Ziel versehentlich zu weit gefasst?
- Ist die Löschung irreversibel?
- Ist der Umfang klar genug, um ohne Rückfrage an den Benutzer fortzufahren?
Dies ist eine Sicherheitsverbesserung auf der Ebene des Agentenverhaltens.
Sie ersetzt keine Sandbox, reduziert aber zunächst die Wahrscheinlichkeit, dass gefährliche Befehle überhaupt die Sandbox-Grenze erreichen.
Spezielle temporäre Verzeichnisse ersetzen riskante Variablenwiederverwendung
OpenAI ändert auch die Art und Weise, wie Codex mit temporärer Arbeit umgeht.
Das sicherere Muster besteht darin, ein neu erstelltes, zweckgebundenes temporäres Verzeichnis zu verwenden, anstatt Systemvariablen wiederzuverwenden, die bereits eine wichtige Bedeutung haben.
Variablen wie $HOME sind besonders sensibel, da sie in der Regel auf echte Benutzerverzeichnisse zeigen, die Projektdateien, Konfigurationen, Anmeldeinformationen, Anwendungszustände und andere persönliche Daten enthalten.
Die Verwendung eines speziellen temporären Pfads bietet zwei Vorteile.
Erstens hat das Ziel eine engere semantische Bedeutung: Es dient ausschließlich einmaligen Aufgabendaten.
Zweitens wird die Bereinigung einfacher zu validieren, da das System das Löschziel mit dem exakten temporären Verzeichnis vergleichen kann, das zu Beginn der Aufgabe erstellt wurde.
Dies ist ein unmittelbares technisches Prinzip, das jedoch umso wichtiger wird, wenn autonome Agenten Shell-Befehle mit maschineller Geschwindigkeit ausführen können.
Das sicherere Muster sieht tatsächlich so aus:
Erstellen eines neuen temporären Verzeichnisses
↓
Speichern der aufgabenspezifischen temporären Dateien dort
↓
Verfolgen des exakten Pfads
↓
Validieren desselben Pfads vor der Bereinigung
↓
Nur Löschen des validierten temporären Verzeichnisses
Ziel ist es, zu vermeiden, dass breiter Umgebungszustand zum Bereinigungsziel wird.
Erkennung und Überprüfung gefährlicher Befehle wird verstärkt
Pfadvalidierung ist nur eine Verteidigungsebene.
OpenAI verstärkt auch die Mechanismen zur Identifizierung riskanter Befehle und deren Überweisung zur Überprüfung.
Das Codex-Änderungsprotokoll dokumentiert bereits eine stärkere Erkennung erzwungener rm-Operationen sowie konsistentere Vollzugriffsbestätigungen. Die aktuelle Strategie zur automatischen Überprüfung ordnet destruktive Operationen mit erheblichem irreversiblen Schadensrisiko ausdrücklich den Kategorien zu, die sie verhindern soll.
Dies ist wichtig, weil ein Befehl selbst dann unsicher sein kann, wenn er syntaktisch vollständig legal ist.
Ein Löschbefehl kann vollständig den Shell-Syntaxregeln entsprechen und dennoch gefährlich sein, weil er möglicherweise:
- ein zu weit gefasstes Zielverzeichnis betrifft;
- Daten außerhalb des Arbeitsbereichs beeinflusst;
- nicht aufgelöste Variablen verwendet;
- große Verzeichnisbäume rekursiv löscht;
- nicht gespeicherte Arbeitsergebnisse zerstört;
- Sicherheitskontrollen schwächt;
- mehrere gefährliche Operationen in einem einzigen Shell-Aufruf kombiniert.
Daher beurteilen die aktualisierten Sicherheitsvorkehrungen von OpenAI nicht nur, ob ein Befehl ausgeführt werden kann.
Sie beurteilen auch, ob dieser Befehl unter den aktuellen Berechtigungen und der Benutzerautorisierung sollte ausgeführt werden.
Vollzugriff ist schwieriger versehentlich zu aktivieren
Der ursprüngliche Text geht auch auf Änderungen am Vollzugriffserlebnis von Codex ein.
Der Vollzugriff ist bewusst extrem leistungsfähig konzipiert. Die aktuelle Berechtigungsdokumentation von OpenAI weist darauf hin, dass Codex in diesem Modus beliebige Dateien auf dem Computer bearbeiten und Befehle mit Netzwerkzugriff ohne Genehmigungsanfrage ausführen kann.
Dies ist in temporären virtuellen Maschinen, dedizierten Entwicklungsumgebungen oder anderen streng kontrollierten Systemen nützlich, in denen der Betreiber bewusst uneingeschränkte Automatisierung wünscht.
Auf einer normalen Workstation erhöht dieser Modus jedoch erheblich die Auswirkungen von Fehlern.
OpenAI hat nun eine höhere Hürde für die Aktivierung dieses Modus eingeführt.
Die aktuelle Codex-Dokumentation legt fest, dass der Vollzugriff zunächst in den Einstellungen der Desktop-Anwendung explizit aktiviert werden muss, bevor er als optionaler Berechtigungsmodus erscheint. Die Oberfläche zeigt außerdem stärkere Warnungen vor möglichem Datenverlust, Datenlecks und unerwartetem Verhalten.
Für genehmigte Hochrisiko-Sicherheitsmodelle gibt OpenAI an, dass die Desktop-Anwendung vor der Aktivierung des Vollzugriffs eine zusätzliche modellspezifische Warnung anzeigt und den sichereren Modus „Für mich genehmigen" empfiehlt.
Übersicht der wichtigsten Berechtigungsmodi
| Modus | Sandbox | Genehmigungsverhalten | Tatsächliches Risiko |
|---|---|---|---|
| Genehmigung anfordern | workspace-write | Benutzer prüft alle anfragen außerhalb der Grenze | Empfohlener Standardmodus für die meisten lokalen Arbeiten |
| Für mich genehmigen / Automatische Überprüfung | workspace-write | Überprüfungsagent bewertet qualifizierte Eskalationsanfragen | Reduziert Operationsaufwand bei Beibehaltung derselben Sandbox-Grenzen |
| Vollzugriff | danger-full-access | Keine regulären Genehmigungsgrenzen | Höchstes Risiko; umfassender Dateisystem- und Netzwerkzugriff |
| Nur lesen | read-only | Änderungen erfordern Eskalation | Geeignet für Inspektion und Planung |
Der entscheidende Punkt: Automatische Überprüfung und Vollzugriff sind nicht dasselbe.
Die automatische Überprüfung behält die Sandbox-Mechanismen bei. Sie ändert, wer Anfragen über die Sandbox-Grenze hinweg bewertet.
Der Vollzugriff entfernt die Sandbox-Grenze selbst direkt.
Automatische Überprüfung erkennt destruktive Operationen jetzt strenger
OpenAI hat außerdem die automatischen Prüfregeln aktualisiert, um destruktive Aktionen besser zu erkennen.
Erstelle in Minuten eine Showcase-Website und gewinne Leads
Beschreibe deine Idee einmal, und We0 AI erstellt eine Showcase-Website, Seiten und ein CMS und hilft nach dem Launch bei Kunden und Traffic.
Eine komplette Projektgeneration zur kostenlosen Registrierung
Am besten geeignet, um einen vollständigen Generierungsablauf auszuprobieren und schnell einen ersten Projektentwurf zu sehen.
Die automatische Prüfung ist ein unabhängiger Prüfagent, der qualifizierte Anfragen bewertet, wenn der Haupt-Codex-Agent die Sandbox-Grenze überschreiten möchte.
Der normale Ablauf sieht wie folgt aus:
Der Haupt-Codex-Agent arbeitet innerhalb der Sandbox
↓
Eine Aktion benötigt zusätzliche Berechtigungen
↓
Codex erstellt eine Genehmigungsanfrage
↓
Die automatische Prüfung bewertet diese Anfrage
↓
Genehmigt → Ausführung wird fortgesetzt
Abgelehnt → Codex muss einen sichereren Weg suchen oder den Benutzer fragen
Die OpenAI-Dokumentation zeigt, dass die automatische Prüfung Anfragen zu folgenden Inhalten bewerten kann:
- Erhöhte Shell- oder Ausführungsberechtigungen;
- Blockierter Netzwerkzugriff;
- Änderungen außerhalb des beschreibbaren Wurzelverzeichnisses;
- Externe MCP- oder Anwendungstool-Aufrufe mit Nebenwirkungen;
- Computerzugriff auf neue Websites oder Domains.
Ihre Richtlinie zielt darauf ab, destruktive Verhaltensweisen abzulehnen oder einzuschränken, darunter Credential-Erkundung, Datenlecks, die anhaltende Schwächung von Sicherheitskontrollen sowie Aktionen mit erheblichem irreversiblen Schadensrisiko.
Dies macht die automatische Prüfung zu einer wichtigen Sicherheitsebene für Benutzer, die sowohl manuelle Eingriffe reduziert als auch dem Haupt-Code-Agenten keinen uneingeschränkten Zugriff gewährt.
OpenAI stellt jedoch klar, dass die automatische Prüfung die Sandbox-Mechanismen nicht ersetzen kann.
Wenn Benutzer den vollständigen Zugriff wählen und die Sandbox entfernen, kann der automatische Prüfer keine Grenze wiederherstellen, die nicht mehr existiert.
OpenAI spielt Fehler in neuen Auswertungen erneut ab
Die Abschwächungsmaßnahmen fließen auch in die Modelltests ein.
Sottiaux sagte, dass OpenAI gezielte Auswertungen erstellt hat, die verschiedene Arten von Fehlern aus den Untersuchungen erneut abspielen. Das Unternehmen erhöht auch die Anzahl der Aufgaben zum verstärkenden Lernen und der Bewertungsfunktionen, die auf diese Risiken abzielen.
Dies ist wichtig, da seltene destruktive Fehler schwer zu verbessern sind, wenn sie nur als isolierte Einzelfälle bewertet werden.
Die Umwandlung realer Fehler in wiederholbare Tests ermöglicht es dem Team, folgende Fragen zu stellen:
- Kann das Modell unerwartet große Löschziele erkennen?
- Vermeidet es die Wiederverwendung sensibler Umgebungsvariablen?
- Stoppt es den Betrieb, wenn der Umfang unklar ist?
- Bevorzugt es nach Möglichkeit wiederherstellbare Aktionen?
- Stuft die automatische Prüfung die Aktion korrekt hoch oder lehnt sie ab?
- Werden zukünftige Modelle denselben Fehler wiederholen?
Mit anderen Worten: Das Ereignis wird in eine Regressionstestabdeckung umgewandelt.
Das Sicherheitsziel besteht nicht nur darin, ein Befehlsmuster zu patchen, sondern darin, zukünftige Codex-Versionen weniger wahrscheinlich eine breitere Kategorie von Fehlern zu wiederholen.
Sandbox und Berechtigungen sind nach wie vor wichtiger als bloße Eingabeaufforderungen
Die Untersuchung hat auch eine umfassendere Erkenntnis zur Sicherheit von Code-Agenten gestärkt.
Natürlichsprachliche Anweisungen wie „Sei vorsichtig mit Dateien“ sind keine starke Sicherheitsgrenze.
Die Ausführungssandbox ist es.
Die eigenen Bereitstellungsrichtlinien von OpenAI beschreiben Sandbox und Genehmigungen als sich ergänzende Kontrollmaßnahmen:
- Die Sandbox legt fest, wohin Codex schreiben kann und auf welche Netzwerkressourcen es zugreifen kann;
- Die Genehmigungsrichtlinie legt fest, wann Codex anhalten muss, bevor es diese Grenze überschreitet.
Für die meisten lokalen Arbeiten empfiehlt OpenAI derzeit eine arbeitsbereichsweite Konfiguration anstelle einer uneingeschränkten Ausführung.
Eine repräsentative sicherere Konfiguration ist:
sandbox_mode = "workspace-write"
approval_policy = "on-request"
approvals_reviewer = "user"
Benutzer, die die automatische Eskalationsprüfung nutzen möchten, können dieselbe Sandbox beibehalten und lediglich den Prüfer ändern:
sandbox_mode = "workspace-write"
approval_policy = "on-request"
approvals_reviewer = "auto_review"
Diese Konfigurationen behalten eine Betriebssystemebenen-Grenze um den normalen Arbeitsbereich bei.
Im Gegensatz dazu entfernt der vollständige Zugriff diese Schutzebene absichtlich und sollte nur verwendet werden, wenn die Umgebung selbst die erforderliche Isolierung bietet.
Was dieses Codex-Sicherheitsupdate für Entwickler bedeutet
Für Entwickler bedeutet dieses Update nicht, dass Codex niemals destruktive Fehler machen wird.
Die eigene Dokumentation von OpenAI warnt davor, dass die automatische Prüfung Fehler machen kann und dass jede sicherheitsrelevante Mechanismus auf Agentenebene nicht als Ersatz für wiederherstellbare Entwicklungspraktiken betrachtet werden sollte.
Die tatsächliche Änderung ist eine Verteidigung in der Tiefe.
Hochrisiko-Operationen haben jetzt mehr Chancen, blockiert zu werden:
- Das Modell wird angewiesen, Ziele zu verifizieren.
- Temporäre Arbeiten verwenden erwartungsgemäß sicherere, dedizierte Pfade.
- Hochriskante Befehlsmuster können vom Ausführungsrahmen erkannt werden.
- Sandbox-Grenzen können den Zugriff außerhalb des Arbeitsbereichs blockieren.
- Genehmigungen oder die automatische Prüfung können grenzüberschreitende Anfragen bewerten.
- Der vollständige Zugriff erfordert klarere, bewusstere Benutzeraktionen.
- Fehlerfälle werden zu Auswertungen und zukünftigem Training hinzugefügt.
Dies ist robuster, als sich auf eine einzelne Sicherheitsmaßnahme zu verlassen.
Für die tägliche Codierung bleibt die sicherste Standardeinstellung einfach: Lassen Sie den Agenten im Arbeitsbereich, es sei denn, die Aufgabe erfordert tatsächlich umfassendere Zugriffsrechte.
Häufig gestellte Fragen
Warum löscht Codex manchmal Dateien außerhalb des Zielverzeichnisses?
Die Untersuchung von OpenAI hat ein Fehlermuster im Zusammenhang mit der Bereinigung temporärer Verzeichnisse aufgedeckt. In bestimmten Fällen können breite Systemvariablen wie $HOME bei temporären Arbeiten wiederverwendet werden, und fehlerhaft formatierte Bereinigungspfade können auf echte Benutzerdaten statt auf einmalige Verzeichnisse zeigen.
Was hat sich nach der Untersuchung bei Codex geändert?
OpenAI gibt an, dass Codex jetzt Löschziele expliziter überprüft, sicherere temporäre Verzeichnismuster verwendet, die Erkennung destruktiver Aktionen verstärkt, die automatische Prüfung verbessert und den vollständigen Zugriff schwerer versehentlich zu aktivieren macht. Das Unternehmen hat außerdem gezielte Auswertungen basierend auf den beobachteten Fehlern erstellt.
Was ist der vollständige Zugriff bei Codex?
Der vollständige Zugriff entfernt die üblichen Sandbox-Beschränkungen und erlaubt Codex, Dateien umfassend zu bearbeiten und Befehle mit Netzwerkzugriff ohne die üblichen Genehmigungsgrenzen auszuführen. OpenAI warnt, dass dies das Risiko von Datenverlust, Lecks und unerwartetem Verhalten erheblich erhöht.
Ist die automatische Prüfung dasselbe wie der vollständige Zugriff?
Nein. Die automatische Prüfung behält die bestehende Sandbox bei und sendet qualifizierte Eskalationsanfragen an den Prüfagenten. Der vollständige Zugriff entfernt die Sandbox-Grenze, daher bieten die beiden Modi sehr unterschiedliche Schutzstufen.
Wird die automatische Prüfung destruktive Befehle blockieren?
Die aktuelle Richtlinie von OpenAI besagt, dass die automatische Prüfung darauf ausgelegt ist, destruktive Aktionen mit erheblichem irreversiblem Schadensrisiko sowie Risiken wie Credential-Erkundung und Datendiebstahl zu identifizieren und zu blockieren. Sie prüft nur Aktionen, die unter der aktuellen Sandbox- und Genehmigungsrichtlinie bereits eine Genehmigung erfordern.
Welchen Berechtigungsmodus sollten die meisten Codex-Benutzer wählen?
OpenAI empfiehlt, für die meisten lokalen Arbeiten mit einem normalen genehmigungsbasierten Modus zu beginnen. Dieser erlaubt normale Bearbeitungen innerhalb des Arbeitsbereichs, verlangt aber eine Prüfung, bevor Codex diese Grenze überschreitet oder auf eingeschränkte Ressourcen zugreift.
Wird Codex nach diesen Änderungen immer noch Fehler machen?
Ja. Diese Maßnahmen reduzieren das Risiko, garantieren aber kein fehlerfreies Verhalten. Versionskontrolle, Backups, enge Arbeitsbereichsberechtigungen und bewusste Genehmigungen für risikoreiche Operationen bleiben weiterhin sehr wichtig.
Wo kann ich die Berechtigungs- und Sandbox-Einstellungen von Codex überprüfen?
In der ChatGPT-Desktop-App oder der IDE-Erweiterung verwenden Sie die Berechtigungssteuerung, die mit der jeweiligen Aufgabe verbunden ist. In der Codex-CLI zeigt /permissions die verfügbaren Modi an, während die offizielle Konfigurationsdokumentation sandbox_mode, approval_policy und approvals_reviewer beschreibt.
Verwandte Tools
- OpenAI Codex: Offizielle Codex-Dokumentation für lokale, IDE-, Desktop- und Cloud-Workflows.
- Codex CLI: Der Open-Source-Kommandozeilen-Code-Agent von OpenAI und seine Versionshistorie.
- Codex-Berechtigungen: Offizielle Erläuterungen zu „Genehmigung anfordern“, „Automatische Prüfung“, „Vollständiger Zugriff“ und verwandten Berechtigungsmodi.
- Codex-Automatische Prüfung: Dokumentation zur automatischen Prüfung von Genehmigungsanfragen an Sandbox-Grenzen.
- Codex-Sandboxing: Dokumentation zur
Offizielle Referenzen für read-only, workspace-write und danger-full-access.
- Codex-Regeln: Befehlsrichtliniensteuerung zum Zulassen, Auffordern oder Blockieren ausgewählter Befehlsmuster.
Verwandte Links
- Codex-Sicherheitsupdate von Thibault Sottiaux: OpenAI-Codex-Engineering-Update, das den Untersuchungsverlauf und die neu veröffentlichten Maßnahmen beschreibt.
- Codex sicher bei OpenAI ausführen: Überblick von OpenAI über Sandboxing, Genehmigungen, Netzwerkkontrolle, gehostete Konfiguration und Auditierbarkeit.
- Agenten-Genehmigungen und -Sicherheit: Detaillierter Leitfaden zu Sandbox-Grenzen, Genehmigungsrichtlinien, geschützten Pfaden und automatischer Genehmigungsprüfung.
- Codex-Automatische Prüfung: Offizielle Dokumentation zu Auslösebedingungen, Prüfabläufen, Richtlinien für destruktive Operationen und Fehlerverhalten.
- Codex-Berechtigungen: Offizielle Beschreibung der nutzerorientierten Berechtigungsmodi und der Warnungen bei vollständigem Zugriff.
- Codex-Änderungsprotokoll: Versionshistorie mit stärkerer erzwungener
rm-Erkennung, Bestätigung für vollständigen Zugriff und damit verbundenen Sicherheitsverbesserungen. - OpenAI-Codex-GitHub-Repository: Quellcode, Issues, Versionshinweise und die Open-Source-Codex-CLI-Implementierung.
Zusammenfassung
Nach der Untersuchung seltener Fälle, in denen einige destruktive Bereinigungsvorgänge Dateien außerhalb des erwarteten Umfangs der Nutzer beeinträchtigten, hat OpenAI Codex verstärkt. Die Hauptfehlermodi betrafen die Verarbeitung temporärer Verzeichnisse, übermäßig breite Umgebungsvariablen, unzureichende Zielvalidierung sowie Sitzungen mit zu weitreichenden Berechtigungen, in denen fehlerhafte Befehle erheblichen Schaden anrichten konnten.
Die neuen Sicherheitsmaßnahmen fügen Prüfungen der Zielpfade, sicherere Verarbeitung temporärer Verzeichnisse, strengere Prüfung destruktiver Befehle, klarere Warnungen bei vollständigem Zugriff und verbesserte Richtlinien für die automatische Prüfung hinzu. OpenAI arbeitet außerdem daran, beobachtete Fehlschläge in wiederholbare Bewertungs- und Trainingsaufgaben umzuwandeln.
Diese Änderungen verringern die Wahrscheinlichkeit, dass ein Codierungsagent einen gewöhnlichen Bereinigungsfehler zu einem großen Dateisystemvorfall ausweitet, machen die uneingeschränkte Ausführung jedoch nicht risikofrei.
Für die meisten lokalen Entwicklungen bleibt der sicherste Ansatz, Codex innerhalb der Workspace-Sandbox zu halten und Berechtigungen nur dann zu erhöhen, wenn die Aufgabe es tatsächlich erfordert.
