OpenAI refuerza la seguridad de Codex con nuevos mecanismos de limpieza y control de permisos para prevenir operaciones destructivas
OpenAI ha mejorado los mecanismos de control de seguridad de Codex después de investigar múltiples informes sobre operaciones destructivas que excedían la intención del usuario.
El problema no radica en que el agente de programación con IA pueda ejecutar comandos—eso es precisamente el valor central de Codex. El riesgo aparece cuando un agente con permisos amplios ejecuta operaciones de limpieza o gestión de archivos y malinterpreta la ruta objetivo.
Según Thibault "Tibo" Sottiaux, responsable de ingeniería de Codex en OpenAI, la empresa investigó un número reducido de casos en los que GPT-5.6 ejecutó operaciones destructivas dentro de Codex que excedían el alcance solicitado. Uno de los patrones recurrentes implicaba la limpieza de directorios temporales, especialmente al ejecutar sesiones con acceso amplio y menos protección de sandbox.
Las últimas medidas de mitigación de OpenAI actúan en varios frentes simultáneamente:
- Verificar el destino de la eliminación antes de operaciones destructivas;
- Utilizar directorios temporales dedicados en lugar de reutilizar variables de entorno sensibles;
- Reforzar la detección y revisión de comandos de alto riesgo;
- Hacer que el modo de "acceso completo" sea más difícil de activar accidentalmente;
- Mejorar la función de revisión automática para que identifique operaciones destructivas de forma más fiable;
- Añadir nuevas evaluaciones y tareas de entrenamiento basadas en los fallos observados por el equipo.
El cambio clave no es una única lista de prohibiciones. OpenAI está reforzando simultáneamente las instrucciones del modelo y el entorno de ejecución que lo rodea.
La investigación se centra en la limpieza de directorios temporales
La investigación de OpenAI descubrió que parte de los fallos destructivos estaban relacionados con la lógica de limpieza de directorios de trabajo temporales.
Los agentes de programación crean con frecuencia ubicaciones temporales durante su trabajo. Las tareas pueden implicar descomprimir archivos, generar archivos intermedios, ejecutar pruebas, almacenar parches o crear artefactos de compilación de un solo uso. Limpiar estos archivos después suele ser seguro.
El peligro surge cuando las variables que identifican los directorios temporales son ambiguas, se reutilizan, tienen un formato incorrecto o apuntan accidentalmente a ubicaciones importantes.
Sottiaux describió un patrón de fallo: el modelo reutiliza variables de entorno del sistema (como $HOME) como directorio de trabajo temporal. Si un comando de limpieza posterior interpreta mal esa variable, el comando destinado a eliminar el directorio temporal podría apuntar al directorio personal real del usuario.
Esta cadena de fallos puede entenderse a alto nivel:
Crear o identificar un espacio de trabajo temporal
↓
Reutilizar una variable de sistema demasiado amplia
↓
Construir el comando de limpieza
↓
Resolver una ruta objetivo incorrecta
↓
Ejecutar la operación destructiva con permisos amplios
↓
Eliminar archivos más allá del alcance previsto
En sesiones sin restricciones, este riesgo es especialmente grave.
En un entorno de sandbox estrictamente limitado, el sistema operativo puede impedir que un comando erróneo afecte a directorios no relacionados. En el modo de acceso completo, ese límite se elimina deliberadamente, por lo que un error de resolución de ruta puede tener un impacto mucho mayor.
La documentación actual de Codex de OpenAI señala claramente esta distinción: el modo habitual workspace-write restringe la edición diaria al espacio de trabajo actual,
mientras que danger-full-access elimina los límites de sandbox del sistema de archivos y la red.
Codex ahora verifica de forma más explícita los objetivos destructivos
La primera medida de mitigación principal es una verificación más sólida del objetivo antes de operaciones de eliminación o similares.
Codex ya no trata la limpieza como un paso final rutinario, sino que se le indica explícitamente que confirme que la ruta objetivo es efectivamente la que pretende modificar.
Esto es importante porque los comandos de shell destructivos suelen ser seguros solo cuando sus argumentos son correctos.
Por ejemplo, la diferencia entre eliminar un directorio temporal dedicado y eliminar el espacio de trabajo padre puede ser una expansión de variable errónea, una comilla mal colocada, un problema de normalización de ruta o un argumento faltante.
El nuevo enfoque reduce la dependencia de suposiciones implícitas.
Antes de ejecutar operaciones de alto riesgo sobre el sistema de archivos, el sistema debe considerar con más detenimiento las siguientes preguntas:
- ¿A qué directorio afecta exactamente este comando?
- ¿Es ese directorio una ubicación temporal creada para esta tarea?
- ¿Se resuelve la ruta dentro del espacio de trabajo previsto?
- ¿Es el objetivo inesperadamente demasiado amplio?
- ¿Es irreversible la eliminación?
- ¿Es el alcance lo suficientemente claro como para continuar sin preguntar al usuario?
Esta es una mejora de seguridad a nivel del comportamiento del agente.
No sustituye al sandbox, pero reduce en primer lugar la probabilidad de que un comando peligroso llegue siquiera al límite del sandbox.
Los directorios temporales dedicados sustituyen a la reutilización de variables de riesgo
OpenAI también está cambiando la forma en que Codex gestiona el trabajo temporal.
El patrón más seguro es crear un directorio temporal nuevo y específico, en lugar de reutilizar variables del sistema que ya tienen un significado importante.
Variables como $HOME son especialmente sensibles porque normalmente apuntan al directorio real del usuario, que contiene archivos de proyecto, configuraciones, credenciales, estado de aplicaciones y otros datos personales.
Usar una ruta temporal dedicada tiene dos ventajas.
En primer lugar, el objetivo tiene un significado semántico más restringido: se utiliza únicamente para datos de tareas de un solo uso.
En segundo lugar, la limpieza es más fácil de verificar, porque el sistema puede comparar el destino de la eliminación con el directorio temporal exacto creado al inicio de la tarea.
Es un principio de ingeniería directo, pero adquiere mayor importancia cuando los agentes autónomos pueden ejecutar comandos de shell a velocidad de máquina.
El patrón más seguro es en realidad:
Crear un directorio temporal completamente nuevo
↓
Almacenar allí los archivos temporales específicos de la tarea
↓
Registrar la ruta exacta
↓
Verificar esa misma ruta antes de la limpieza
↓
Eliminar únicamente el directorio temporal verificado
El objetivo es evitar que un estado ambiental amplio se convierta en objetivo de limpieza.
La detección y revisión de comandos peligrosos se está reforzando
La verificación de rutas es solo una capa de defensa.
OpenAI también ha reforzado los mecanismos para identificar comandos de riesgo y derivarlos a revisión.
El registro de cambios de Codex ya documenta una detección más sólida para operaciones forzadas de rm, así como confirmaciones de Acceso Completo más coherentes. La política actual de revisión automática también incluye explícitamente, entre las categorías que pretende bloquear, las operaciones destructivas con riesgo significativo de daño irreversible.
Esto es importante porque un comando puede ser completamente legal desde el punto de vista sintáctico y aun así no ser seguro.
Un comando de eliminación puede cumplir perfectamente las reglas de sintaxis del shell y seguir siendo peligroso porque podría:
- Apuntar a un directorio de alcance demasiado amplio;
- Afectar a datos fuera del espacio de trabajo;
- Utilizar variables sin resolver;
- Eliminar de forma recursiva árboles de directorios extensos;
- Destruir trabajo no confirmado;
- Debilitar los controles de seguridad;
- Combinar varias operaciones peligrosas en una sola llamada al shell.
Por lo tanto, los mecanismos de seguridad actualizados de OpenAI no solo determinan si un comando puede ejecutarse.
También determinan si ese comando debe ejecutarse bajo los permisos y la autorización del usuario actuales.
El acceso completo es más difícil de activar accidentalmente
El artículo también destaca los cambios en la experiencia de acceso completo de Codex.
El acceso completo está diseñado deliberadamente para ser extremadamente potente. La documentación de permisos actual de OpenAI señala que, en este modo, Codex puede editar cualquier archivo del ordenador y ejecutar comandos con acceso a red sin solicitar aprobación.
Esto es útil en máquinas virtuales temporales, entornos de desarrollo dedicados u otros sistemas estrictamente controlados donde el operador desea intencionadamente una automatización sin restricciones.
Sin embargo, en una estación de trabajo normal, este modo aumenta significativamente las consecuencias de un error.
OpenAI ahora ha elevado el umbral para activar este modo.
La documentación actual de Codex establece que el acceso completo debe habilitarse explícitamente en la configuración de la aplicación de escritorio antes de que aparezca como modo de permisos opcional. La interfaz también muestra advertencias más contundentes sobre posible pérdida de datos, filtraciones y comportamiento inesperado.
Para los modelos de seguridad de alto riesgo aprobados, OpenAI indica que la aplicación de escritorio mostrará una advertencia adicional específica del modelo antes de habilitar el acceso completo, y recomienda el modo más seguro de "aprobar por mí".
Descripción de los principales modos de permisos
| Modo | Sandbox | Comportamiento de aprobación | Riesgo real |
|---|---|---|---|
| Solicitar aprobación | workspace-write | El usuario revisa todas las solicitudes fuera de alcance | Modo predeterminado recomendado para la mayoría del trabajo local |
| Aprobar por mí / Revisión automática | workspace-write | Un agente de revisión evalúa las solicitudes de escalada elegibles | Reduce la fricción operativa manteniendo los mismos límites de sandbox |
| Acceso completo | danger-full-access | Sin límites de aprobación habituales | Riesgo más alto; acceso amplio al sistema de archivos y a la red |
| Solo lectura | read-only | Las modificaciones requieren permisos elevados | Adecuado para inspección y planificación |
El punto clave: la revisión automática y el acceso completo no son lo mismo.
La revisión automática preserva el mecanismo de sandbox. Lo que cambia es quién evalúa las solicitudes que cruzan el límite del sandbox.
El acceso completo elimina directamente el propio límite del sandbox.
La revisión automática ahora identifica con más rigor las operaciones destructivas
OpenAI también ha actualizado sus reglas de revisión automática para identificar mejor las operaciones destructivas.
Crea un sitio de presentacion y capta leads en minutos
Describe tu idea una vez y We0 AI puede generar un sitio de presentacion, paginas y CMS, y ayudarte a atraer clientes y trafico tras el lanzamiento.
Una generación completa de proyectos para registro gratuito
Lo mejor para probar un flujo de generación completo y ver rápidamente el primer borrador del proyecto.
La revisión automática es un agente de revisión independiente que evalúa las solicitudes elegibles cuando el agente principal de Codex quiere cruzar los límites de la sandbox.
El flujo normal es el siguiente:
El agente principal de Codex trabaja dentro de la sandbox
↓
Una operación requiere permisos adicionales
↓
Codex crea una solicitud de aprobación
↓
La revisión automática evalúa la solicitud
↓
Aprobada → continúa la ejecución
Rechazada → Codex debe buscar una ruta más segura o preguntar al usuario
Los documentos de OpenAI muestran que la revisión automática puede evaluar solicitudes relacionadas con:
- Privilegios elevados de shell o ejecución;
- Acceso de red bloqueado;
- Modificaciones fuera del directorio raíz escribible;
- Llamadas externas a herramientas MCP o de aplicación con efectos secundarios;
- Acceso de uso informático a nuevos sitios web o dominios.
Sus políticas están diseñadas para rechazar o limitar comportamientos destructivos que incluyen la detección de credenciales, la exfiltración de datos, el debilitamiento continuo de los controles de seguridad y acciones con riesgo significativo de daño irreversible.
Esto convierte a la revisión automática en una capa de seguridad importante para el usuario, reduciendo la intervención manual sin otorgar al agente principal de codificación un acceso sin restricciones.
Sin embargo, OpenAI deja claro que la revisión automática no puede sustituir al mecanismo de sandbox.
Si el usuario elige acceso total y elimina la sandbox, el revisor automático no puede recrear un límite que ya no existe.
OpenAI reproduce fallos en nuevas evaluaciones
Los esfuerzos de mitigación también se están retroalimentando en las pruebas del modelo.
Sotio afirmó que OpenAI ha construido evaluaciones específicas que reproducen los distintos tipos de fallos encontrados durante la investigación. La empresa también está añadiendo tareas de aprendizaje por refuerzo y evaluadores dirigidos a estos riesgos.
Esto es importante porque, si los errores destructivos poco frecuentes solo se evalúan como casos aislados, es difícil mejorarlos.
Convertir fallos reales en pruebas repetibles permite al equipo plantear las siguientes preguntas:
- ¿Puede el modelo identificar objetivos de borrado inesperadamente demasiado amplios?
- ¿Evita reutilizar variables de entorno sensibles?
- ¿Se detiene cuando el alcance no está claro?
- ¿Prioriza operaciones recuperables cuando es posible?
- ¿La revisión automática escala o rechaza correctamente la operación?
- ¿Los modelos futuros repetirán el mismo fallo?
En otras palabras, el incidente se está convirtiendo en cobertura de pruebas de regresión.
El objetivo de seguridad no es solo parchear un patrón de comando, sino hacer que las versiones futuras de Codex tengan muchas menos probabilidades de reproducir una categoría más amplia de fallos.
La sandbox y los permisos siguen siendo más importantes que las simples indicaciones
La investigación también refuerza una visión más amplia sobre la seguridad de los agentes de codificación.
Instrucciones en lenguaje natural como "ten cuidado al manejar archivos" no son un límite de seguridad sólido.
La sandbox de ejecución sí lo es.
Las propias guías de implementación de OpenAI describen la sandbox y las aprobaciones como controles complementarios:
- La sandbox determina dónde puede escribir Codex y a qué recursos de red puede acceder;
- La política de aprobaciones determina cuándo Codex debe detenerse antes de cruzar ese límite.
Para la mayoría del trabajo local, OpenAI recomienda actualmente configuraciones a nivel de espacio de trabajo en lugar de ejecución sin restricciones.
Una configuración más segura representativa es:
sandbox_mode = "workspace-write"
approval_policy = "on-request"
approvals_reviewer = "user"
Los usuarios que deseen usar la revisión automática pueden mantener la misma sandbox mientras cambian el revisor:
sandbox_mode = "workspace-write"
approval_policy = "on-request"
approvals_reviewer = "auto_review"
Estas configuraciones mantienen un límite a nivel de sistema operativo alrededor del espacio de trabajo normal.
En contraste, el acceso total elimina intencionalmente esa protección y solo debe usarse cuando el propio entorno proporcione el aislamiento necesario.
Qué significa esta actualización de seguridad de Codex para los desarrolladores
Para los desarrolladores, esta actualización no significa que Codex nunca cometerá errores destructivos.
Los propios documentos de OpenAI advierten que la revisión automática puede equivocarse y que ningún mecanismo de seguridad a nivel de agente debe considerarse un sustituto de las prácticas de desarrollo recuperables.
El cambio real es la defensa en profundidad.
Las operaciones de alto riesgo ahora tienen más oportunidades de ser bloqueadas:
- Se instruye al modelo para que verifique los objetivos.
- Se espera que el trabajo temporal utilice rutas dedicadas más seguras.
- Los marcos de ejecución pueden reconocer patrones de comandos de alto riesgo.
- Los límites de la sandbox pueden bloquear el acceso fuera del espacio de trabajo.
- La aprobación o revisión automática puede evaluar solicitudes que cruzan los límites.
- El acceso total requiere acciones de usuario más claras y deliberadas.
- Los casos de fallo se añaden a las evaluaciones y al entrenamiento futuro.
Esto es más robusto que depender de cualquier medida de seguridad individual.
Para la codificación diaria, el valor predeterminado más seguro sigue siendo simple: mantener al agente dentro del espacio de trabajo, a menos que la tarea realmente requiera un acceso más amplio.
Preguntas frecuentes
¿Por qué Codex a veces elimina archivos fuera del directorio de destino?
La investigación de OpenAI encontró un modo de fallo relacionado con la limpieza de directorios temporales. En algunos casos, variables de sistema amplias como $HOME podían reutilizarse en trabajo temporal, y una ruta de limpieza mal formada podía apuntar a datos reales del usuario en lugar de un directorio desechable.
¿Qué cambió en Codex después de la investigación?
OpenAI afirma que Codex ahora verifica más explícitamente los objetivos de borrado, utiliza patrones de directorios temporales más seguros, refuerza la detección de operaciones destructivas, mejora la revisión automática y hace que el acceso total sea más difícil de activar accidentalmente. La empresa también ha creado evaluaciones específicas basadas en los fallos observados.
¿Qué es el acceso total en Codex?
El acceso total elimina las restricciones normales de la sandbox, permitiendo que Codex edite archivos ampliamente y ejecute comandos con acceso a red sin los límites de aprobación habituales. OpenAI advierte que esto aumenta significativamente el riesgo de pérdida de datos, filtración y comportamiento imprevisto.
¿La revisión automática es lo mismo que el acceso total?
No. La revisión automática mantiene la sandbox existente y envía las solicitudes de escalada elegibles a un agente de revisión. El acceso total elimina el límite de la sandbox, por lo que los dos modos ofrecen niveles de protección muy diferentes.
¿La revisión automática bloqueará comandos destructivos?
La política actual de OpenAI indica que la revisión automática está diseñada para identificar y bloquear operaciones destructivas con riesgo de daño irreversible significativo, así como riesgos como la detección de credenciales y el robo de datos. Solo revisa las operaciones que ya requieren aprobación bajo la sandbox y la política de aprobaciones actuales.
¿Qué modo de permisos debería elegir la mayoría de los usuarios de Codex?
OpenAI recomienda que la mayoría del trabajo local comience con un modo basado en aprobaciones normales. Permite ediciones habituales dentro del espacio de trabajo, mientras exige revisión antes de que Codex cruce ese límite o acceda a recursos restringidos.
¿Codex todavía puede cometer errores después de estos cambios?
Sí. Estas medidas reducen el riesgo, pero no garantizan un comportamiento sin errores. El control de versiones, las copias de seguridad, los permisos de espacio de trabajo restringidos y la aprobación deliberada de operaciones de alto riesgo siguen siendo muy importantes.
¿Dónde puedo verificar los permisos y la configuración de sandbox de Codex?
En la aplicación de escritorio de ChatGPT o en la extensión del IDE, usa los controles de permisos asociados con la tarea. En Codex CLI, /permissions muestra los modos disponibles, y la documentación oficial de configuración describe sandbox_mode, approval_policy y approvals_reviewer.
Herramientas relacionadas
- OpenAI Codex: Documentación oficial de Codex para flujos de trabajo locales, de IDE, de escritorio y en la nube.
- Codex CLI: El agente de codificación de línea de comandos de código abierto de OpenAI y su historial de versiones.
- Permisos de Codex: Documentación oficial sobre "aprobar solicitudes", "revisión automática", "acceso total" y modos de permisos relacionados.
- Revisión automática de Codex: Documentación sobre la revisión automática de solicitudes de aprobación en los límites de la sandbox.
- Sandbox de Codex: Documentación sobre
Referencia oficial de read-only, workspace-write y danger-full-access.
- Reglas de Codex: control de políticas de comandos para permitir, sugerir o bloquear patrones de comandos seleccionados.
Enlaces relacionados
- Actualización de seguridad de Codex por Thibault Sottiaux: actualización de ingeniería de OpenAI Codex que describe la investigación y las nuevas medidas de mitigación publicadas.
- Ejecutar Codex de forma segura en OpenAI: descripción general de OpenAI sobre sandboxing, aprobaciones, control de red, configuración alojada y auditabilidad.
- Aprobaciones y seguridad del agente: guía detallada sobre límites de sandbox, políticas de aprobación, rutas protegidas y revisión de aprobaciones automáticas.
- Revisión automática de Codex: documentación oficial que cubre condiciones de activación, proceso de revisión, políticas para operaciones destructivas y comportamiento ante fallos.
- Permisos de Codex: descripción oficial de los modos de permisos orientados al usuario y advertencias de acceso total.
- Registro de cambios de Codex: historial de versiones que documenta una detección más estricta de
rmforzado, confirmaciones de acceso total y mejoras de seguridad relacionadas. - Repositorio de GitHub de OpenAI Codex: código fuente, problemas, notas de versión e implementación del CLI de Codex de código abierto.
Resumen
Después de investigar algunos casos poco frecuentes en los que operaciones de limpieza destructivas afectaron archivos fuera del alcance previsto por el usuario, OpenAI reforzó Codex. Los principales modos de fallo involucraban el manejo de directorios temporales, variables de entorno demasiado amplias, validación insuficiente de destinos y sesiones con permisos demasiado amplios que permitían que comandos erróneos causaran daños significativos.
Las nuevas medidas de seguridad añaden comprobaciones de rutas de destino, un manejo más seguro de directorios temporales, una revisión más rigurosa de comandos destructivos, advertencias más claras sobre el acceso total y políticas mejoradas de revisión automática. OpenAI también está convirtiendo los fallos observados en tareas de evaluación y entrenamiento reproducibles.
Estos cambios reducen la probabilidad de que un agente de codificación convierta errores de limpieza comunes en incidentes graves en el sistema de archivos, pero no hacen que la ejecución sin restricciones esté exenta de riesgos.
Para la mayoría del desarrollo local, el enfoque más seguro sigue siendo mantener a Codex dentro del sandbox del espacio de trabajo y elevar los permisos solo cuando la tarea realmente lo requiera.
