Automatische Überprüfung

Die automatische Überprüfung ersetzt die manuelle Genehmigung an der Sandbox-Grenze durch einen separaten Prüfer-Agenten. Der Codex-Hauptagent wird weiterhin innerhalb derselben Sandbox ausgeführt, mit denselben Genehmigungsrichtlinien sowie denselben Netzwerk- und Dateisystembeschränkungen. Der Unterschied besteht darin, wer zulässige Eskalationsanfragen prüft.

Funktionsweise der automatischen Überprüfung

Auf hoher Ebene läuft der Vorgang wie folgt ab:

1. Der Hauptagent arbeitet innerhalb von read-only oder workspace-write.
2. Wenn er die Sandbox-Grenze überschreiten muss, fordert er eine Genehmigung an.
3. Wenn approvals_reviewer = "auto_review", leitet Codex diese Genehmigungsanfrage an einen separaten Prüfer-Agenten weiter, anstatt auf eine Person zu warten.
4. Der Prüfer entscheidet, ob die Aktion ausgeführt werden soll, und gibt eine Begründung zurück.
5. Wird die Aktion genehmigt, wird die Ausführung fortgesetzt. Wird sie abgelehnt, erhält der Hauptagent die Anweisung, einen wesentlich sichereren Weg zu finden oder anzuhalten und den Benutzer zu fragen.

Die automatische Überprüfung tauscht den Prüfer aus, sie erteilt keine Berechtigungen. Sie erweitert writable_roots nicht, aktiviert keinen Netzwerkzugriff und schwächt keine geschützten Pfade. Sie ändert lediglich, wie Codex mit Aktionen umgeht, die bereits eine Genehmigung erfordern.

Wann sie ausgelöst wird

Die automatische Überprüfung bewertet Genehmigungsanfragen, die andernfalls auf eine menschliche Entscheidung warten würden. Dazu gehören:

• Aufrufe von Shell- oder Ausführungswerkzeugen, die erweiterte Sandbox-Berechtigungen anfordern.
• Netzwerkanfragen, die von der aktuellen Sandbox oder Richtlinie blockiert werden.
• Dateiänderungen außerhalb der zulässigen beschreibbaren Stammverzeichnisse.
• Aufrufe von MCP- oder App-Werkzeugen, die aufgrund ihrer Werkzeugannotationen oder des konfigurierten Genehmigungsmodus eine Genehmigung erfordern.
• Computer Use-Zugriff auf eine neue Website oder Domain.

Die automatische Überprüfung wird nicht für Routineaktionen ausgeführt, die innerhalb der Sandbox bereits zulässig sind. Wenn ein Befehl unter dem aktiven sandbox_mode ausgeführt werden kann oder ein Werkzeugaufruf innerhalb der zulässigen Richtlinie bleibt, fährt der Hauptagent ohne Überprüfung fort.

Computer Use ist ein Sonderfall. App-Genehmigungen für Computer Use werden weiterhin direkt dem Benutzer angezeigt, daher ersetzt die automatische Überprüfung diese Aufforderungen auf App-Ebene nicht.

Was die automatische Überprüfung blockiert

Auf hoher Ebene ist die automatische Überprüfung dafür vorgesehen, Aktionen wie die folgenden zu blockieren:

• Senden privater Daten, Geheimnisse oder Anmeldedaten an nicht vertrauenswürdige Ziele
• Suchen nach Anmeldedaten, Token, Cookies oder Sitzungsmaterial
• weitreichende oder dauerhafte Schwächung der Sicherheit
• destruktive Aktionen mit einem erheblichen Risiko irreversibler Schäden

Die genaue Richtlinie befindet sich im Open-Source-Repository von Codex: policy_template.md und policy.md. Diese Richtlinie kann pro Unternehmen mit guardian_policy_config oder pro Benutzer mit einer lokalen [auto_review].policy angepasst werden.

Was der Prüfer sieht

Der Prüfer ist selbst ein Codex-Agent mit einer enger gefassten Aufgabe als der Hauptagent: Er entscheidet, ob eine bestimmte Aktion ausgeführt werden soll, die eine Grenze überschreitet.

Der Prüfer sieht ein kompaktes Transkript zusammen mit der genauen Genehmigungsanfrage. Dieses enthält normalerweise Benutzernachrichten, angezeigte Aktualisierungen des Assistenten, relevante Werkzeugaufrufe und Werkzeugausgaben sowie die Aktion, die nun zur Genehmigung vorgeschlagen wird. Er kann außerdem schreibgeschützte Prüfungen durchführen, um fehlenden Kontext zu erfassen, tut dies jedoch nur selten.

Verborgene Überlegungen des Assistenten sind nicht enthalten. Die automatische Überprüfung sieht gespeicherte Chat-Elemente und Werkzeugnachweise, keine privaten Gedankengänge.

Ablehnungen und Verhalten bei Fehlern

Eine ausdrückliche Ablehnung wird nicht wie ein gewöhnlicher Sandbox-Fehler behandelt. Codex gibt die Begründung der Prüfung an den Hauptagenten zurück und fügt eine nachdrücklichere Anweisung hinzu:

• Verfolgen Sie dasselbe Ziel nicht durch eine Umgehung, indirekte Ausführung oder Umgehung der Richtlinie weiter.
• Fahren Sie nur mit einer wesentlich sichereren Alternative fort.
• Halten Sie andernfalls an und fragen Sie den Benutzer.

Codex wendet außerdem pro Durchlauf einen Schutzschalter für Ablehnungen an. In der aktuellen Open-Source-Implementierung unterbricht die automatische Überprüfung den Durchlauf nach 3 aufeinanderfolgenden Ablehnungen oder 10 Ablehnungen innerhalb eines gleitenden Fensters der letzten 50 Überprüfungen im selben Durchlauf.

Jedes Ergebnis, das keine Ablehnung ist, setzt den Zähler für aufeinanderfolgende Ablehnungen zurück. Wenn der Schutzschalter auslöst, gibt Codex eine Warnung aus und bricht den aktuellen Durchlauf durch eine Unterbrechung ab, anstatt den Agenten weitere Eskalationsversuche in einer Schleife durchführen zu lassen.

Zeitüberschreitungen werden getrennt von ausdrücklichen Ablehnungen angezeigt, und der Hauptagent wird darüber informiert, dass eine Zeitüberschreitung allein kein Beweis dafür ist, dass die Aktion unsicher ist.

Für abgelehnte Aktionen gibt es außerdem einen ausdrücklichen Überschreibungspfad. Führen Sie in der aktuellen Open-Source-TUI /approve aus, um die Auswahl Ablehnungen der automatischen Überprüfung zu öffnen, und wählen Sie anschließend eine kürzlich abgelehnte Aktion aus, um sie für einen erneuten Versuch zu genehmigen. Codex speichert bis zu 10 kürzlich erfolgte Ablehnungen pro Aufgabe. Diese Genehmigung ist eng begrenzt: Sie gilt für die exakt abgelehnte Aktion, nicht für ähnliche zukünftige Aktionen; sie wird für einen erneuten Versuch im gleichen Kontext gespeichert; und der erneute Versuch durchläuft weiterhin die automatische Überprüfung. Intern fügt Codex für diese exakte Aktion eine Genehmigungsmarkierung mit Entwickler-Geltungsbereich ein. Der Prüfer sieht diese ausdrückliche Überschreibung durch den Benutzer anschließend als Kontext, folgt jedoch weiterhin der Richtlinie und kann die Aktion erneut ablehnen, wenn die Richtlinie vorsieht, dass der Benutzer diese Art von Ablehnung nicht überschreiben darf.

Konfiguration

Einzelheiten zur Einrichtung finden Sie unter Verwaltete Konfiguration.

Die standardmäßige Prüfrichtlinie befindet sich im Open-Source-Repository von Codex: core/src/guardian/policy.md. Unternehmen können den mandantenspezifischen Abschnitt durch guardian_policy_config in verwalteten Anforderungen ersetzen. Einzelne Benutzer können außerdem eine lokale [auto_review].policy in ihrer config.toml festlegen, verwaltete Anforderungen haben jedoch Vorrang:

[auto_review]
policy = """
YOUR POLICY GOES HERE
"""

Um die Richtlinie anzupassen, kopieren Sie zunächst den vollständigen Wortlaut der Standardrichtlinie und passen Sie ihn anschließend schrittweise an Ihr individuelles Risikoprofil an.

Prüfaufwand reduzieren, ohne die Sicherheit zu schwächen

Die automatische Überprüfung funktioniert am besten, wenn die Sandbox Ihre üblichen sicheren Arbeitsabläufe bereits abdeckt. Wenn zu viele alltägliche Aktionen eine Überprüfung erfordern, passen Sie zunächst die Grenze an, anstatt dem Prüfer dauerhaft beizubringen, unnötige Eskalationen zu genehmigen.

In der Praxis haben die folgenden Änderungen die größte Wirkung:

• Fügen Sie eng begrenzte writable_roots für temporäre Verzeichnisse oder benachbarte Repositorys hinzu, die Sie bewusst verwenden.
• Fügen Sie eng begrenzte Präfixregeln hinzu. Bevorzugen Sie präzise Befehlspräfixe wie ["cargo", "test"] oder ["pnpm", "run", "lint"] gegenüber weit gefassten Mustern wie ["python"] oder ["curl"]. Weit gefasste Regeln beseitigen häufig genau die Grenze, welche die automatische Überprüfung schützen soll.

Sitzungstranskripte der automatischen Überprüfung werden standardmäßig unter ~/.codex/sessions gespeichert. Daher können Sie Codex bitten, dort den bisherigen Datenverkehr zu analysieren, bevor Sie Richtlinien oder Berechtigungen ändern.

Einschränkungen

Die automatische Überprüfung verbessert den standardmäßigen Betriebsmodus für lang andauernde agentengestützte Aufgaben, ist jedoch keine deterministische Sicherheitsgarantie.

• Sie bewertet nur Aktionen, die das Überschreiten einer Grenze anfordern.
• Sie kann weiterhin Fehler machen, insbesondere in feindlichen oder ungewöhnlichen Kontexten.
• Sie sollte eine gute Sandbox-Gestaltung, Überwachung und organisationsspezifische Richtlinien ergänzen, nicht ersetzen.

Die wissenschaftliche Begründung und die veröffentlichten Bewertungsergebnisse finden Sie im Alignment Research-Beitrag zur automatischen Überprüfung.