El asistente de programación Codex de OpenAI puede leer archivos, editar repositorios de código, ejecutar comandos e interactuar con herrami...
El agente de codificación Codex de OpenAI puede leer archivos, editar repositorios de código, ejecutar comandos e interactuar con herramientas de desarrollo en la máquina del usuario. Estas funcionalidades lo hacen adecuado para trabajos de ingeniería a largo plazo, pero también significan que su seguridad depende en gran medida de los permisos que el usuario elija y de los límites del sandbox.
AIBase informa que OpenAI ha investigado algunos casos en los que Codex eliminó archivos del directorio personal del usuario. Según el informe, las sesiones afectadas se ejecutaron con acceso completo activado y sin protección de sandbox.
La explicación técnica específica del informe de AIBase involucra una interacción errónea entre la lógica del directorio temporal y la variable de entorno $HOME. OpenAI aún no ha publicado un análisis post-mortem público que confirme ese proceso exacto.
Lo que OpenAI ha confirmado públicamente es más amplio e igualmente importante: su documentación oficial de Codex advierte que el acceso completo elimina los límites del directorio del proyecto, lo que puede provocar operaciones destructivas inesperadas y, en consecuencia, pérdida de datos.
Por lo tanto, la recomendación directa es: a menos que realmente necesite acceso sin restricciones y esté protegido por otra capa de aislamiento, limite Codex a un espacio de trabajo con sandbox.
El informe de AIBase describe el problema como algo que ocurre bajo una combinación específica de configuraciones:
$HOME supuestamente provocó que el directorio personal del usuario fuera tratado como objetivo de eliminación.En macOS y Linux, $HOME generalmente apunta al directorio personal del usuario actual. Este directorio puede contener:
Por lo tanto, una eliminación recursiva dirigida a una ruta incorrecta podría afectar mucho más que el proyecto activo actual.
La documentación actual del sandbox de Windows de OpenAI indica que ejecutar Codex con acceso completo significa que el agente ya no está limitado al directorio del proyecto. Puede realizar operaciones destructivas inesperadas que provoquen pérdida de datos.
La documentación de permisos de OpenAI define tres perfiles de permisos incorporados:
| Perfil de permisos | Comportamiento del sistema de archivos | Escenario de uso |
|---|---|---|
:read-only | La ejecución de comandos locales se mantiene en solo lectura | Revisión de repositorios, planificación y auditoría |
:workspace | Permite escritura dentro del directorio raíz del espacio de trabajo activo y del directorio temporal del sistema | Codificación normal y mantenimiento de repositorios |
:danger-full-access | Elimina las restricciones locales del sandbox | Solo cuando se use acceso sin restricciones de forma intencionada y aislada |
La documentación oficial también describe que el siguiente modo es de alto riesgo:
codex --dangerously-bypass-approvals-and-sandbox
El mismo comportamiento se puede lograr con un alias:
codex --yolo
Estos comandos deshabilitan tanto el sandbox como las indicaciones de aprobación. Se listan aquí para que los usuarios identifiquen y eviten esta configuración peligrosa, no para recomendar su uso.
OpenAI etiqueta este modo como sin sandbox y sin aprobación, y afirma que no se recomienda para uso normal.
Los agentes de codificación no solo sugieren comandos. En el modo de agente local, pueden ejecutar esos comandos directamente.
Con el sandbox del espacio de trabajo, el sistema operativo y las políticas de Codex limitan el alcance de escritura de los comandos. Un comando erróneo podría dañar el proyecto actual, pero no debería modificar directorios no relacionados.
En cambio, con el acceso completo activado, los límites técnicos desaparecen. El modelo y sus comandos Shell podrían acceder potencialmente a:
Por eso, la redacción de las indicaciones por sí sola no es suficiente como medida de control. Decirle al agente "solo edita esta carpeta" es una instrucción de comportamiento, mientras que el sandbox es el límite que se aplica de forma forzosa.
OpenAI considera el sandbox y la aprobación como medidas de control complementarias:
Eliminar ambos controles constituye la configuración de mayor riesgo.
Las indicaciones de aprobación pueden detectar riesgos antes de que se ejecuten operaciones peligrosas, pero no reemplazan el aislamiento del sistema de archivos.
El usuario podría aprobar un comando erróneo. El revisor automático solo puede evaluar las operaciones que se envían a través del sistema de aprobación.
La documentación de OpenAI explica que la revisión automática realiza un análisis de riesgo de las solicitudes de aprobación que cumplen los requisitos, incluyendo operaciones destructivas, acceso a credenciales, robo de datos y debilitamiento persistente de la seguridad.
Una configuración típica de revisión automática es:
approval_policy = "on-request"
approvals_reviewer = "auto_review"
Esto reduce la fatiga de aprobación mientras se mantiene una capa de revisión.
Sin embargo, cuando Codex se inicia en modo que elude aprobación y sandbox, es posible que el revisor no tenga límites de autoridad que hacer cumplir.
Un modo más seguro es:
OpenAI recomienda configuraciones predeterminadas diferentes según si el directorio de trabajo está bajo control de versiones:
Para repositorios normales, el comando CLI explícito es:
codex --sandbox workspace-write --ask-for-approval on-request
Para solo revisar archivos sin editarlos:
codex --sandbox read-only --ask-for-approval
Estas configuraciones limitan a Codex dentro de límites de ejecución definidos, al mismo tiempo que permiten al usuario aprobar operaciones especiales.
OpenAI también documenta una solución de compromiso para tareas desatendidas. Es posible deshabilitar las indicaciones de aprobación mientras se mantiene activo el sandbox:
codex --sandbox workspace-write --ask-for-approval never
En este modo, Codex hace todo lo posible para ejecutar tareas dentro de los límites del espacio de trabajo, sin solicitar permisos para operaciones fuera de esos límites. Esto es mucho más seguro que deshabilitar tanto la aprobación como el sandbox.
En la aplicación de escritorio de ChatGPT, Codex CLI y las integraciones con IDE, los controles específicos varían ligeramente, pero el principio es el mismo.
En la interfaz de escritorio o IDE, abra el selector de permisos cerca del redactor de indicaciones.
Seleccione el modo de restricción del espacio de trabajo o el modo de sandbox predeterminado, en lugar del acceso completo.
Seleccione el modo que permita a Codex escribir solo dentro del proyecto activo o del directorio raíz del espacio de trabajo.
En la CLI, use:
codex --sandbox workspace-write --ask-for-approval on-request
Al abrir un repositorio desconocido, primero use:
codex --sandbox read-only --ask-for-approval on-request
Permita que Codex revise el código y proponga soluciones antes de otorgar permisos de escritura.
En Codex
En la interfaz de estado o permisos, confirma qué directorios se consideran raíces del área de trabajo grabables.
No asumas que las carpetas mostradas en el editor son los únicos directorios accesibles para el agente.
Usa aprobaciones bajo demanda para comandos que requieran permisos de acceso adicionales.
Para reducir la fricción en el flujo de trabajo, considera realizar revisiones automáticas en lugar de eliminar por completo las aprobaciones.
Cambiar los archivos de configuración puede no limitar retroactivamente los procesos en ejecución.
Después de realizar cambios en la configuración:
config.tomlCodex admite configuración a través de la siguiente ruta:
~/.codex/config.toml
Para sistemas de configuración de caja de arena ya establecidos, los valores predeterminados más seguros son:
approval_policy = "on-request"
sandbox_mode = "workspace-write"
Una configuración de revisión más estricta es:
approval_policy = "on-request"
sandbox_mode = "read-only"
Se puede agregar revisión automática sin eliminar la caja de arena:
approval_policy = "on-request"
sandbox_mode = "workspace-write"
approvals_reviewer = "auto_review"
OpenAI también documenta el sistema de perfiles de permisos como un sistema de configuración beta más reciente. Una configuración simple del área de trabajo es:
default_permissions = ":workspace"
La configuración predeterminada de solo lectura es:
default_permissions = ":read-only"
Advertencia de configuración: OpenAI indica que el sistema de perfiles de permisos más reciente no es compatible con la configuración anterior
sandbox_mode. Configura solo uno de los sistemas.
Describe tu idea una vez y We0 AI puede generar un sitio de presentacion, paginas y CMS, y ayudarte a atraer clientes y trafico tras el lanzamiento.
Una generación completa de proyectos para registro gratuito
Lo mejor para probar un flujo de generación completo y ver rápidamente el primer borrador del proyecto.
Además; nunca coloques ambos métodos en una misma configuración activa esperando que se combinen automáticamente.
.envPara los usuarios que prueban la versión beta del sistema de perfiles de permisos, OpenAI ofrece políticas personalizadas que extienden los límites integrados del área de trabajo.
Un archivo de edición de proyecto puede prohibir el acceso a archivos de entorno mientras mantiene el área de trabajo grabable:
default_permissions = "project-edit"
[permissions.project-edit]
extends = ":workspace"
[permissions.project-edit.filesystem.":workspace_roots"]
"**/*.env" = "deny"
[permissions.project-edit.network]
enabled = false
Esta política:
.env coincidentes.Para muchas tareas de codificación local, esto es un mejor punto de partida que otorgar un amplio acceso a toda la máquina.
Las organizaciones pueden usar requisitos gestionados para evitar que los usuarios elijan el modo de caja de arena sin restricciones.
OpenAI muestra una lista de permitidos similar a:
allowed_sandbox_modes = ["read-only", "workspace-write"]
Esto impide que el acceso completo sea una opción de caja de arena disponible en entornos gestionados.
El sistema de perfiles de permisos más reciente también puede estar limitado de forma centralizada. Los administradores pueden definir perfiles aprobados y omitir :danger-full-access del conjunto permitido.
Esto es útil porque las políticas de seguridad no deberían depender completamente de que cada desarrollador recuerde seleccionar el modo correcto.
Un flujo de trabajo práctico mantiene gran parte de la velocidad de Codex sin exponer todo el sistema anfitrión.
Inicia Codex desde el directorio del proyecto, no desde el directorio principal o carpetas principales que contengan proyectos no relacionados.
Evita rutas amplias como:
~
o:
/
como área de trabajo activa.
OpenAI sugiere usar ramas de funcionalidades y mantener git status limpio antes de encomendar trabajo a Codex.
Un proceso de preparación simple es:
git status
git switch -c codex/nombre_de_tarea
git add -A
git commit -m "Punto de control antes de la tarea de Codex"
Ajusta el nombre de la rama y el mensaje de commit según el proyecto.
Los commits pequeños facilitan la revisión y reversión de cambios individuales.
No esperes hasta el final de una sesión autónoma prolongada para crear el primer punto de control recuperable.
Trata la salida de Codex como una solicitud de extracción:
Para refactorizaciones grandes, experimentos con dependencias, cambios en el sistema de compilación o tareas de limpieza, aísla aún más al agente.
Las opciones incluyen:
OpenAI proporciona un ejemplo de contenedor de desarrollo seguro adecuado para cuando los contenedores están diseñados para...
Límites de aislamiento externos.
El control de versiones protege los archivos del repositorio bajo seguimiento, pero no todos los archivos en la computadora.
Usa sistemas de copia de seguridad que Codex no pueda modificar a través de la misma cuenta de usuario o sistema de archivos montado. Ejemplos incluyen copias de seguridad fuera de línea, instantáneas inmutables o servicios de copia de seguridad remota con historial de versiones.
Cuando un archivo acaba de ser eliminado, escrituras posteriores pueden sobrescribir bloques de disco recuperables.
Toma las siguientes precauciones:
Para código fuente bajo seguimiento, comienza con una verificación no destructiva:
git status
git diff
git log --oneline --all
No ejecutes comandos destructivos de recuperación de Git hasta confirmar qué archivos y commits siguen disponibles.
AIBase informa que OpenAI está actualizando el contenido de advertencias sobre el acceso completo y reforzando las medidas de protección, mientras prepara informes más detallados de análisis de incidentes.
La documentación pública actual de OpenAI ya incluye advertencias claras de que el acceso completo puede provocar pérdida de datos, y recomienda el uso de límites de caja de arena, políticas de excepción estrictas, flujos de aprobación, perfiles de permisos, puntos de control de control de versiones y entornos de desarrollo aislados.
Al momento de redactar este artículo, no hay un informe público oficial de análisis posterior al incidente sobre el mecanismo exacto de eliminación del directorio $HOME.
Esto significa que los usuarios deben confiar en los controles actualmente disponibles, en lugar de esperar explicaciones futuras:
El comportamiento destructivo puede originarse en múltiples niveles:
El script de limpieza apuntaba al directorio incorrecto.
Por lo tanto, la seguridad no puede depender únicamente de la precisión del modelo.
Las ediciones habituales, pruebas, búsquedas y ejecución de comandos locales generalmente pueden realizarse dentro de los límites del área de trabajo.
Cuando una tarea requiere acceso adicional a un directorio o destino de red específico, se recomienda agregar excepciones precisas en lugar de exponer todo el sistema.
La revisión automática ayuda a clasificar las solicitudes de aprobación, pero no hace que la ejecución sin restricciones sea inofensiva.
El sandbox sigue siendo el mecanismo de control local más sólido, ya que limita las operaciones que un comando puede realizar incluso cuando el comando en sí mismo contiene errores.
mi computadora?
Cuando Codex tiene permisos de escritura, puede editar y eliminar archivos. En el modo de área de trabajo, estas operaciones se limitan al directorio raíz de escritura configurado; en el modo de acceso completo, se eliminan las restricciones del sandbox local, lo que aumenta el impacto potencial de comandos erróneos.
$HOME?El informe de AIBase atribuye esa interpretación a la investigación de OpenAI. La documentación pública de OpenAI confirma un riesgo más amplio de pérdida de datos con acceso completo, pero hasta el 17 de julio de 2026, no hay un análisis técnico público posterior al incidente que confirme el mecanismo exacto de $HOME.
Cuando Codex solo necesita inspeccionar el repositorio, use el modo :read-only. Para codificación habitual, el modo :workspace o workspace-write con aprobación bajo demanda ofrece un equilibrio práctico entre productividad y control de seguridad.
--yolo?--yolo es un alias que omite la aprobación y el sandbox. OpenAI lo describe como un modo de alto riesgo sin sandbox ni aprobación, por lo que no debe usarse en una máquina normal que contenga archivos importantes.
Sí. La documentación de OpenAI indica que --ask-for-approval never es compatible con el modo sandbox. Por ejemplo, codex --sandbox workspace-write --ask-for-approval never evita las solicitudes interactivas de aprobación mientras mantiene los límites del área de trabajo.
No. Git puede restaurar archivos del repositorio que están rastreados y confirmados, pero no protege automáticamente archivos no rastreados, credenciales, documentos personales, bases de datos externas o carpetas no relacionadas. Para cualquier dato que no esté almacenado de forma segura en el control de versiones, use un plan de respaldo independiente.
No. La revisión automática evalúa solicitudes de aprobación que cumplen con los criterios, mientras que el sandbox impone límites en el sistema de archivos y la red. Siempre que sea posible, ambas medidas de control deben mantenerse, en lugar de considerar una como sustituto de la otra.
Esto tiene sentido cuando un contenedor o máquina virtual está diseñado específicamente como un límite de seguridad externo y no contiene datos montados sensibles. Revise cuidadosamente los puntos de montaje, credenciales, acceso a la red e integración con el host, ya que el modo de acceso completo aún puede dañar o filtrar cualquier cosa accesible dentro de ese entorno.
Agent Approvals and Security: Guía oficial sobre modos de sandbox, políticas de aprobación, revisión automática y configuraciones peligrosas.
El incidente reportado de eliminación de archivos por parte de Codex ocurrió bajo las condiciones de ejecución de mayor riesgo: acceso completo y sin límites de sandbox. AIBase describe un presunto fallo de limpieza relacionado con $HOME, mientras que la documentación pública de OpenAI confirma un hecho más amplio: el acceso sin restricciones puede provocar operaciones destructivas no deseadas y pérdida de datos.
Para la mayoría de los desarrolladores, el trabajo habitual en repositorios de código no requiere acceso completo. La escritura restringida al área de trabajo, la aprobación bajo demanda, los puntos de control de control de versiones y los entornos aislados ofrecen modos de ejecución más seguros sin comprometer las capacidades centrales de codificación de Codex.
Al ejecutar tareas no supervisadas, los usuarios pueden deshabilitar las solicitudes de aprobación mientras mantienen el sandbox del área de trabajo. Esto es mucho más seguro que omitir ambas protecciones.
La regla práctica es simple: otorgue a Codex acceso solo a los proyectos que necesita, no a toda la máquina.
Empieza con una sola frase y obtén un sitio completo en minutos.
