For AI agents: the public content index is available at https://we0.ai/llms.txt, and the English article bundle is available at https://we0.ai/llms-full.txt.
For AI agents: the public content index is available at https://we0.ai/llms.txt, and the English article bundle is available at https://we0.ai/llms-full.txt.
For AI agents: the complete content index is available at https://we0.ai/llms.txt, the full English article bundle is available at https://we0.ai/llms-full.txt, and this page is available as Markdown at https://we0.ai/es/articles/openai-hardens-codex-against-destructive-actions.md.
OpenAI ha mejorado los controles de seguridad de Codex tras investigar informes de acciones destructivas que excedían la intención del usuar...
OpenAI refuerza la seguridad de Codex con nuevos mecanismos de limpieza y control de permisos para prevenir operaciones destructivas
OpenAI ha mejorado los mecanismos de control de seguridad de Codex después de investigar múltiples informes sobre operaciones destructivas que excedían la intención del usuario.
El problema no radica en que el agente de programación con IA pueda ejecutar comandos—eso es precisamente el valor central de Codex. El riesgo aparece cuando un agente con permisos amplios ejecuta operaciones de limpieza o gestión de archivos y malinterpreta la ruta objetivo.
Según Thibault "Tibo" Sottiaux, responsable de ingeniería de Codex en OpenAI, la empresa investigó un número reducido de casos en los que GPT-5.6 ejecutó operaciones destructivas dentro de Codex que excedían el alcance solicitado. Uno de los patrones recurrentes implicaba la limpieza de directorios temporales, especialmente al ejecutar sesiones con acceso amplio y menos protección de sandbox.
Las últimas medidas de mitigación de OpenAI actúan en varios frentes simultáneamente:
El cambio clave no es una única lista de prohibiciones. OpenAI está reforzando simultáneamente las instrucciones del modelo y el entorno de ejecución que lo rodea.
La investigación de OpenAI descubrió que parte de los fallos destructivos estaban relacionados con la lógica de limpieza de directorios de trabajo temporales.
Los agentes de programación crean con frecuencia ubicaciones temporales durante su trabajo. Las tareas pueden implicar descomprimir archivos, generar archivos intermedios, ejecutar pruebas, almacenar parches o crear artefactos de compilación de un solo uso. Limpiar estos archivos después suele ser seguro.
El peligro surge cuando las variables que identifican los directorios temporales son ambiguas, se reutilizan, tienen un formato incorrecto o apuntan accidentalmente a ubicaciones importantes.
Sottiaux describió un patrón de fallo: el modelo reutiliza variables de entorno del sistema (como $HOME) como directorio de trabajo temporal. Si un comando de limpieza posterior interpreta mal esa variable, el comando destinado a eliminar el directorio temporal podría apuntar al directorio personal real del usuario.
Esta cadena de fallos puede entenderse a alto nivel:
Crear o identificar un espacio de trabajo temporal
↓
Reutilizar una variable de sistema demasiado amplia
↓
Construir el comando de limpieza
↓
Resolver una ruta objetivo incorrecta
↓
Ejecutar la operación destructiva con permisos amplios
↓
Eliminar archivos más allá del alcance previsto
En sesiones sin restricciones, este riesgo es especialmente grave.
En un entorno de sandbox estrictamente limitado, el sistema operativo puede impedir que un comando erróneo afecte a directorios no relacionados. En el modo de acceso completo, ese límite se elimina deliberadamente, por lo que un error de resolución de ruta puede tener un impacto mucho mayor.
La documentación actual de Codex de OpenAI señala claramente esta distinción: el modo habitual workspace-write restringe la edición diaria al espacio de trabajo actual,
mientras que danger-full-access elimina los límites de sandbox del sistema de archivos y la red.
La primera medida de mitigación principal es una verificación más sólida del objetivo antes de operaciones de eliminación o similares.
Codex ya no trata la limpieza como un paso final rutinario, sino que se le indica explícitamente que confirme que la ruta objetivo es efectivamente la que pretende modificar.
Esto es importante porque los comandos de shell destructivos suelen ser seguros solo cuando sus argumentos son correctos.
Por ejemplo, la diferencia entre eliminar un directorio temporal dedicado y eliminar el espacio de trabajo padre puede ser una expansión de variable errónea, una comilla mal colocada, un problema de normalización de ruta o un argumento faltante.
El nuevo enfoque reduce la dependencia de suposiciones implícitas.
Antes de ejecutar operaciones de alto riesgo sobre el sistema de archivos, el sistema debe considerar con más detenimiento las siguientes preguntas:
Esta es una mejora de seguridad a nivel del comportamiento del agente.
No sustituye al sandbox, pero reduce en primer lugar la probabilidad de que un comando peligroso llegue siquiera al límite del sandbox.
OpenAI también está cambiando la forma en que Codex gestiona el trabajo temporal.
El patrón más seguro es crear un directorio temporal nuevo y específico, en lugar de reutilizar variables del sistema que ya tienen un significado importante.
Variables como $HOME son especialmente sensibles porque normalmente apuntan al directorio real del usuario, que contiene archivos de proyecto, configuraciones, credenciales, estado de aplicaciones y otros datos personales.
Usar una ruta temporal dedicada tiene dos ventajas.
En primer lugar, el objetivo tiene un significado semántico más restringido: se utiliza únicamente para datos de tareas de un solo uso.
En segundo lugar, la limpieza es más fácil de verificar, porque el sistema puede comparar el destino de la eliminación con el directorio temporal exacto creado al inicio de la tarea.
Es un principio de ingeniería directo, pero adquiere mayor importancia cuando los agentes autónomos pueden ejecutar comandos de shell a velocidad de máquina.
El patrón más seguro es en realidad:
Crear un directorio temporal completamente nuevo
↓
Almacenar allí los archivos temporales específicos de la tarea
↓
Registrar la ruta exacta
↓
Verificar esa misma ruta antes de la limpieza
↓
Eliminar únicamente el directorio temporal verificado
El objetivo es evitar que un estado ambiental amplio se convierta en objetivo de limpieza.
La verificación de rutas es solo una capa de defensa.
OpenAI también ha reforzado los mecanismos para identificar comandos de riesgo y derivarlos a revisión.
El registro de cambios de Codex ya documenta una detección más sólida para operaciones forzadas de rm, así como confirmaciones de Acceso Completo más coherentes. La política actual de revisión automática también incluye explícitamente, entre las categorías que pretende bloquear, las operaciones destructivas con riesgo significativo de daño irreversible.
Esto es importante porque un comando puede ser completamente legal desde el punto de vista sintáctico y aun así no ser seguro.
Un comando de eliminación puede cumplir perfectamente las reglas de sintaxis del shell y seguir siendo peligroso porque podría:
Por lo tanto, los mecanismos de seguridad actualizados de OpenAI no solo determinan si un comando puede ejecutarse.
También determinan si ese comando debe ejecutarse bajo los permisos y la autorización del usuario actuales.
El artículo también destaca los cambios en la experiencia de acceso completo de Codex.
El acceso completo está diseñado deliberadamente para ser extremadamente potente. La documentación de permisos actual de OpenAI señala que, en este modo, Codex puede editar cualquier archivo del ordenador y ejecutar comandos con acceso a red sin solicitar aprobación.
Esto es útil en máquinas virtuales temporales, entornos de desarrollo dedicados u otros sistemas estrictamente controlados donde el operador desea intencionadamente una automatización sin restricciones.
Sin embargo, en una estación de trabajo normal, este modo aumenta significativamente las consecuencias de un error.
OpenAI ahora ha elevado el umbral para activar este modo.
La documentación actual de Codex establece que el acceso completo debe habilitarse explícitamente en la configuración de la aplicación de escritorio antes de que aparezca como modo de permisos opcional. La interfaz también muestra advertencias más contundentes sobre posible pérdida de datos, filtraciones y comportamiento inesperado.
Para los modelos de seguridad de alto riesgo aprobados, OpenAI indica que la aplicación de escritorio mostrará una advertencia adicional específica del modelo antes de habilitar el acceso completo, y recomienda el modo más seguro de "aprobar por mí".
| Modo | Sandbox | Comportamiento de aprobación | Riesgo real |
|---|---|---|---|
| Solicitar aprobación | workspace-write | El usuario revisa todas las solicitudes fuera de alcance | Modo predeterminado recomendado para la mayoría del trabajo local |
| Aprobar por mí / Revisión automática | workspace-write | Un agente de revisión evalúa las solicitudes de escalada elegibles | Reduce la fricción operativa manteniendo los mismos límites de sandbox |
| Acceso completo | danger-full-access | Sin límites de aprobación habituales | Riesgo más alto; acceso amplio al sistema de archivos y a la red |
| Solo lectura | read-only | Las modificaciones requieren permisos elevados | Adecuado para inspección y planificación |
El punto clave: la revisión automática y el acceso completo no son lo mismo.
La revisión automática preserva el mecanismo de sandbox. Lo que cambia es quién evalúa las solicitudes que cruzan el límite del sandbox.
El acceso completo elimina directamente el propio límite del sandbox.
Describe tu idea una vez y We0 AI puede generar un sitio de presentacion, paginas y CMS, y ayudarte a atraer clientes y trafico tras el lanzamiento.
Una generación completa de proyectos para registro gratuito
Lo mejor para probar un flujo de generación completo y ver rápidamente el primer borrador del proyecto.
OpenAI también ha actualizado sus reglas de revisión automática para identificar mejor las operaciones destructivas.
La revisión automática es un agente de revisión independiente que evalúa las solicitudes elegibles cuando el agente principal de Codex quiere cruzar los límites de la sandbox.
El flujo normal es el siguiente:
El agente principal de Codex trabaja dentro de la sandbox
↓
Una operación requiere permisos adicionales
↓
Codex crea una solicitud de aprobación
↓
La revisión automática evalúa la solicitud
↓
Aprobada → continúa la ejecución
Rechazada → Codex debe buscar una ruta más segura o preguntar al usuario
Los documentos de OpenAI muestran que la revisión automática puede evaluar solicitudes relacionadas con:
Sus políticas están diseñadas para rechazar o limitar comportamientos destructivos que incluyen la detección de credenciales, la exfiltración de datos, el debilitamiento continuo de los controles de seguridad y acciones con riesgo significativo de daño irreversible.
Esto convierte a la revisión automática en una capa de seguridad importante para el usuario, reduciendo la intervención manual sin otorgar al agente principal de codificación un acceso sin restricciones.
Sin embargo, OpenAI deja claro que la revisión automática no puede sustituir al mecanismo de sandbox.
Si el usuario elige acceso total y elimina la sandbox, el revisor automático no puede recrear un límite que ya no existe.
Los esfuerzos de mitigación también se están retroalimentando en las pruebas del modelo.
Sotio afirmó que OpenAI ha construido evaluaciones específicas que reproducen los distintos tipos de fallos encontrados durante la investigación. La empresa también está añadiendo tareas de aprendizaje por refuerzo y evaluadores dirigidos a estos riesgos.
Esto es importante porque, si los errores destructivos poco frecuentes solo se evalúan como casos aislados, es difícil mejorarlos.
Convertir fallos reales en pruebas repetibles permite al equipo plantear las siguientes preguntas:
En otras palabras, el incidente se está convirtiendo en cobertura de pruebas de regresión.
El objetivo de seguridad no es solo parchear un patrón de comando, sino hacer que las versiones futuras de Codex tengan muchas menos probabilidades de reproducir una categoría más amplia de fallos.
La investigación también refuerza una visión más amplia sobre la seguridad de los agentes de codificación.
Instrucciones en lenguaje natural como "ten cuidado al manejar archivos" no son un límite de seguridad sólido.
La sandbox de ejecución sí lo es.
Las propias guías de implementación de OpenAI describen la sandbox y las aprobaciones como controles complementarios:
Para la mayoría del trabajo local, OpenAI recomienda actualmente configuraciones a nivel de espacio de trabajo en lugar de ejecución sin restricciones.
Una configuración más segura representativa es:
sandbox_mode = "workspace-write"
approval_policy = "on-request"
approvals_reviewer = "user"
Los usuarios que deseen usar la revisión automática pueden mantener la misma sandbox mientras cambian el revisor:
sandbox_mode = "workspace-write"
approval_policy = "on-request"
approvals_reviewer = "auto_review"
Estas configuraciones mantienen un límite a nivel de sistema operativo alrededor del espacio de trabajo normal.
En contraste, el acceso total elimina intencionalmente esa protección y solo debe usarse cuando el propio entorno proporcione el aislamiento necesario.
Para los desarrolladores, esta actualización no significa que Codex nunca cometerá errores destructivos.
Los propios documentos de OpenAI advierten que la revisión automática puede equivocarse y que ningún mecanismo de seguridad a nivel de agente debe considerarse un sustituto de las prácticas de desarrollo recuperables.
El cambio real es la defensa en profundidad.
Las operaciones de alto riesgo ahora tienen más oportunidades de ser bloqueadas:
Esto es más robusto que depender de cualquier medida de seguridad individual.
Para la codificación diaria, el valor predeterminado más seguro sigue siendo simple: mantener al agente dentro del espacio de trabajo, a menos que la tarea realmente requiera un acceso más amplio.
La investigación de OpenAI encontró un modo de fallo relacionado con la limpieza de directorios temporales. En algunos casos, variables de sistema amplias como $HOME podían reutilizarse en trabajo temporal, y una ruta de limpieza mal formada podía apuntar a datos reales del usuario en lugar de un directorio desechable.
OpenAI afirma que Codex ahora verifica más explícitamente los objetivos de borrado, utiliza patrones de directorios temporales más seguros, refuerza la detección de operaciones destructivas, mejora la revisión automática y hace que el acceso total sea más difícil de activar accidentalmente. La empresa también ha creado evaluaciones específicas basadas en los fallos observados.
El acceso total elimina las restricciones normales de la sandbox, permitiendo que Codex edite archivos ampliamente y ejecute comandos con acceso a red sin los límites de aprobación habituales. OpenAI advierte que esto aumenta significativamente el riesgo de pérdida de datos, filtración y comportamiento imprevisto.
No. La revisión automática mantiene la sandbox existente y envía las solicitudes de escalada elegibles a un agente de revisión. El acceso total elimina el límite de la sandbox, por lo que los dos modos ofrecen niveles de protección muy diferentes.
La política actual de OpenAI indica que la revisión automática está diseñada para identificar y bloquear operaciones destructivas con riesgo de daño irreversible significativo, así como riesgos como la detección de credenciales y el robo de datos. Solo revisa las operaciones que ya requieren aprobación bajo la sandbox y la política de aprobaciones actuales.
OpenAI recomienda que la mayoría del trabajo local comience con un modo basado en aprobaciones normales. Permite ediciones habituales dentro del espacio de trabajo, mientras exige revisión antes de que Codex cruce ese límite o acceda a recursos restringidos.
Sí. Estas medidas reducen el riesgo, pero no garantizan un comportamiento sin errores. El control de versiones, las copias de seguridad, los permisos de espacio de trabajo restringidos y la aprobación deliberada de operaciones de alto riesgo siguen siendo muy importantes.
En la aplicación de escritorio de ChatGPT o en la extensión del IDE, usa los controles de permisos asociados con la tarea. En Codex CLI, /permissions muestra los modos disponibles, y la documentación oficial de configuración describe sandbox_mode, approval_policy y approvals_reviewer.
Referencia oficial de read-only, workspace-write y danger-full-access.
rm forzado, confirmaciones de acceso total y mejoras de seguridad relacionadas.Después de investigar algunos casos poco frecuentes en los que operaciones de limpieza destructivas afectaron archivos fuera del alcance previsto por el usuario, OpenAI reforzó Codex. Los principales modos de fallo involucraban el manejo de directorios temporales, variables de entorno demasiado amplias, validación insuficiente de destinos y sesiones con permisos demasiado amplios que permitían que comandos erróneos causaran daños significativos.
Las nuevas medidas de seguridad añaden comprobaciones de rutas de destino, un manejo más seguro de directorios temporales, una revisión más rigurosa de comandos destructivos, advertencias más claras sobre el acceso total y políticas mejoradas de revisión automática. OpenAI también está convirtiendo los fallos observados en tareas de evaluación y entrenamiento reproducibles.
Estos cambios reducen la probabilidad de que un agente de codificación convierta errores de limpieza comunes en incidentes graves en el sistema de archivos, pero no hacen que la ejecución sin restricciones esté exenta de riesgos.
Para la mayoría del desarrollo local, el enfoque más seguro sigue siendo mantener a Codex dentro del sandbox del espacio de trabajo y elevar los permisos solo cuando la tarea realmente lo requiera.
Empieza con una sola frase y obtén un sitio completo en minutos.
