Codex 权限与安全管理

Codex 作为具备自主读写工程文件、执行终端命令、修改代码的开发智能体，拥有较强的本地与云端操作能力。权限管控与安全隔离是 Codex 工程落地的基础。和普通对话式大模型不同，Codex 可直接修改文件、运行脚本、发起网络请求，因此需要一套多层安全体系约束智能体行为。本文将结合官方文档，介绍 Codex 沙箱隔离机制、审批策略、权限层级、网络访问控制、企业管理能力、数据安全规范以及风险防控最佳实践。

一、Codex 安全体系核心架构

Codex 采用多层纵深安全模型，从运行边界、交互审批、网络访问、命令规则、企业管控五个维度构建防护体系，在自动化开发效率与安全风险之间取得平衡。

沙箱隔离（硬边界）：限定智能体可访问的文件、目录与系统权限，是底层强制安全边界。
审批策略（交互规则）：定义跨边界、高危操作是否触发人工确认，管控自动化执行风险。
网络访问管控：默认限制外网访问，支持域名黑白名单实现精细化网络控制。
命令权限约束：基于 Rules 规则配置 Shell 命令黑白名单，拦截高危系统指令。
企业管理员管控：通过强制配置锁定团队安全策略，统一全工作区合规标准。

核心原则：沙箱决定“能不能执行操作”，审批策略决定“自动执行还是人工确认后执行”，二者不能互相替代。

二、三层沙箱隔离机制（核心硬安全边界）

沙箱是 Codex 最基础的安全防护，本地任务与云端任务均运行在隔离环境内，防止越权访问、文件误删、系统篡改。官方提供三种标准化沙箱模式，各自适配不同场景。

2.1 read-only 只读模式

只读模式是安全性最高的受限模式。智能体仅允许读取项目文件，用于代码阅读、架构分析、代码审查，禁止任何文件修改、命令执行与网络请求。所有变更操作都会被拦截，适合陌生开源仓库阅读、项目学习、静态代码评审等低风险场景。

2.2 workspace-write 工作区写入（默认推荐）

workspace-write 为 Codex 默认模式，也是日常开发首选。智能体仅能在当前项目工作目录内读写文件、执行命令；工作目录以外的系统文件、隐私配置文件都会被隔离。一旦触发跨目录访问、系统级操作，会自动进入审批流程，兼顾开发效率与安全防护。

2.3 danger-full-access 完全开放模式

完全开放模式属于高风险权限配置。该模式放开本地文件系统与系统命令权限，智能体可以操作全盘文件、执行系统指令。官方明确建议：仅在可信本地私有环境做短期调试使用；企业团队、云端沙箱环境禁止启用，存在文件误删、系统损坏、敏感信息泄露等风险。

三、智能体审批策略体系

审批策略用于管控沙箱边界之外的操作，定义高危动作的执行逻辑，作为沙箱隔离的补充安全机制。Codex 支持三类审批策略。

on-request 按需审批（默认）：工作区内低风险操作自动放行；跨工作区访问、删除文件、外网请求、高危命令等操作，弹出窗口等待人工确认，适用于绝大多数开发场景。
never 免审批自动执行：所有操作自动执行，无人工确认弹窗。仅可搭配只读沙箱使用，不建议在可写入环境开启，避免自动化风险失控。
Auto-review 智能自动审核：内置子代理自动校验常规低风险操作，减少重复弹窗；高危、跨边界、陌生操作依旧保留人工确认环节，兼顾效率与安全。

四、网络安全访问管控

为防范提示注入、外部恶意载荷读取、密钥与业务代码泄露，Codex 默认关闭外网访问，遵循最小网络权限原则。开发者可按需配置域名黑白名单。

网络白名单：仅允许访问预先指定的可信域名与接口，适合企业内网、受限业务环境，严格限制外联范围。
网络黑名单：拦截高危、未授权域名，阻止智能体发起非法网络请求。

五、命令权限规则（Rules）安全约束

在沙箱和审批策略之外，Codex 支持使用 Starlark 语法编写 Rules 规则文件，构建第三层安全防线，专门管控 Shell 终端命令。开发者可以配置命令黑白名单，拦截 rm、sudo、端口扫描等高危指令，允许编译、单元测试等常规开发命令。规则支持全局配置或者项目单独配置，方便团队统一安全规范。

六、账号权限与角色分级管理

企业工作区采用 RBAC 角色权限体系，对人员权限做分级管控，避免全员高权限带来的安全隐患。

Owner 所有者 / Admin 管理员：最高权限，可下发强制配置、修改沙箱策略、限制模型与插件、查看完整审计日志。
Member 普通成员：拥有常规开发使用权限，无法修改全局安全策略与强制配置。
Analytics Viewer：仅可查看用量统计与审计数据，无代码操作权限。

个人用户仅拥有自身会话权限，不同用户之间会话、文件变更、任务日志相互隔离。

七、企业级强制安全管控

面向团队与企业场景，管理员可通过 requirements.toml 下发全局强制安全策略，该配置优先级最高，普通用户无法覆盖修改，实现团队安全标准化。

强制锁定沙箱模式，禁用高危 danger-full-access 权限；
统一全员审批策略，限制高危操作自动执行；
配置网络访问白名单，规范外网访问范围；
限制可用模型，禁用未授权插件与技能包；
开启全量操作审计日志，留存开发行为记录，满足合规审计要求。

八、数据隐私与协作安全

Codex 遵循官方数据隐私规范，企业工作区的数据默认不会用于模型训练，数据传输与存储全程加密。单人会话、文件变更、任务日志相互隔离，其他成员无法直接查看。
团队协作使用 /share 生成会话快照时，系统会自动尝试脱敏密钥、令牌等敏感内容，但仍需要人工复核，防止业务代码、路径信息泄露。

九、官方安全最佳实践

日常开发推荐组合：workspace-write 沙箱 + on-request 审批策略，平衡安全与开发效率。
打开陌生代码仓库、开源项目时，优先切换至只读沙箱，降低未知风险。
不长期启用完全访问模式，仅临时调试场景短期使用。
默认关闭外网访问，业务确有需要时，按需添加网络白名单。
通过 Rules 规则全局拦截高危系统命令。
AI 生成的所有代码变更，必须人工审核，不可直接合并至生产环境。
企业团队统一配置强制安全策略，规范全员权限标准。

十、总结

Codex 权限与安全管理依托沙箱硬隔离、审批软约束、网络精细化管控、命令规则拦截、企业统一管控五层安全体系，应对智能体自动化开发带来的误操作、系统破坏、隐私泄露、外部攻击等风险。个人开发者依靠沙箱与审批策略保障开发安全；企业团队借助强制配置与角色体系实现合规管控。遵循官方安全规范，是安全、稳定、高效使用 Codex 工程智能体的前提。