OpenAI 教你如何安全使用 Codex：沙盒边界、自动審批、安全分類，完整企业部署框架

OpenAI 公开其內部如何安全部署自家 AI 程式碼代理 Codex，核心策略是「沙箱限制執行边界 + 自动審批低风险行为 + AI 安全分類代理處理告警」，让开发效率与企业安全控管同步运作。
（前情提要：OpenAI Codex 重大升級：后臺操控 Mac、內建瀏覽器、影像生成，上線 111 个新外掛）
（背景補充：OpenAI 新推工程師代理人 Codex！AI 可寫功能、修 Bug、跑測試）

本文目錄

Toggle

• 沙盒定義边界，審批机制決定何时停下
• 哪些指令免審批，哪些直接封锁
• AI 安全分類代理

OpenAI 本週公开了一份企业內部部署报告，说明自家安全團队如何在生产環境中執行 Codex。这是一份实际落地的操作紀錄，从沙盒配置到告警分類，揭示 AI 代理被大型組织採用时，安全控管需要覆蓋哪些層面。

沙盒定義边界，審批机制決定何时停下

OpenAI 在官方公告中指出，部署 Codex 的核心原則只有一條：让代理在明確的技術边界內保持高效，低风险行为不需要打斷用戶，高风险行为必須停下来等人審核。

这个原則落地后，拆成两个互補机制：沙盒与審批策略。

沙盒负责定義 Codex 的執行空间，包括可以寫入哪些路徑、是否允許外连網路、哪些系统目錄受到保護。沙盒之外的动作，才需要进入審批流程。用戶可以一次性批准某个具體操作，或者批准該類操作在整个工作階段內自动透过。

对於日常例行操作，OpenAI 啟用了「自动審核模式」（Auto-review mode）。这个功能会將 Codex 计劃執行的动作与近期操作背景，同步傳給一个「自动審批子代理」。子代理判斷为低风险，就直接放行，不中斷用戶工作流；判斷为高风险或有潛在非预期后果，才会升級到人工確认。

網路管控的逻辑同樣如此。Codex 並非开放式外连存取，OpenAI 維護一份允許清單，列出 Codex 正常工作流程中需要觸及的目標域名。清單外的域名预设封锁，遇到不熟悉的域名，則觸发審批流程。

身份验证也被納入管控範圍。CLI 与 MCP OAuth 憑证存放在作业系统的安全金鑰環中，登入強制走 ChatGPT 企业工作区，Codex 的操作因此被納入 ChatGPT 企业版合規日誌平台，安全團队可以统一查阅。

哪些指令免審批，哪些直接封锁

OpenAI 不把所有 Shell 指令視为同等风险，而是建立了一套分層規則。工程師日常开发中常见的无害指令，允許在沙箱外直接執行，不需要審批。特定的高危指令，則直接封锁或強制審批。

这套規則透过三个層次疊加生效：

• 雲端管理需求（管理員強制執行，用戶无法覆蓋）
• macOS 受管偏好设定
• 本地需求设定檔

这種架構让 OpenAI 可以在保持全公司统一基準線的同时，按照團队、用戶群組或環境需求測試不同的配置組合。相同的设定适用於 Codex 桌面应用、CLI 以及 IDE 擴充元件等所有本地介面。

这与外部研究的背景形成直接对比：研究顯示，AI 生成的程式碼出现安全漏洞的比例，比人工撰寫的程式碼高出 57%。GitHub Copilot 今年也被揭露存在 CVSS 9.6 的嚴重漏洞（CVE-2025-53773），可透过提示注入实现远端程式碼執行。

这些资料说明，企业採用 AI 程式碼代理时，如果沒有对应的分層控管，暴露面会超出预期。OpenAI 的做法是把控管逻辑寫进配置層，而非依賴 AI 代理本身的判斷，让規則執行成为技術事实，而非操作習慣。

AI 安全分類代理

OpenAI 在官方公告中強调，安全控管做得再好，部署后仍然需要可視性。傳统安全日誌能回答「发生了什麼」，例如某个程式啟动、某个檔案被修改、某个網路连線被嘗試。但安全人員真正需要知道的，是「Codex 为什麼这樣做」以及「这是用戶本来的意圖嗎」。

OpenAI 让 Codex 支援 OpenTelemetry 日誌输出，紀錄範圍包含：用戶提示、工具審批決策、工具執行結果、MCP 伺服器使用情況、網路代理的允許或拒絕事件。企业与教育机構客戶还可以透过 OpenAI 合規平台存取这些日誌。

更关鍵的是，OpenAI 內部把这些日誌接入了一个「AI 安全分類代理」。当端点偵測工具发现 Codex 的可疑行为並觸发告警，这个 AI 分類代理会自动调取相关 Codex 日誌，重建原始请求、工具活动、審批決策、工具結果以及網路政策的相关記錄，生成分析报告后送交安全團队審阅，協助判斷这是正常的代理行为、无害的誤操作，还是真正需要升級處理的事件。

同一套遙測资料也被用於內部營运分析：追蹤內部採用趨勢、瞭解哪些工具和 MCP 伺服器被使用最频繁、評估網路沙箱的封锁与觸发频率、判斷哪些環節的部署配置仍需调整。这些 OpenTelemetry 日誌可集中匯入 SIEM 与合規日誌系统。

对於仍在觀望 AI 代理安全性的組织来说，这份报告更像是一份參照清單：如果你的部署方案还沒覆蓋这四个層次，风险可能就在那裡。