OpenAI навчає вас безпечному використанню Codex: межі пісочниці, автоматичне схвалення, безпечна класифікація, повна рамкова структура розгортання для підприємств

OpenAI оприлюднила внутрішню інформацію про безпечне розгортання власного AI-коду代理 Codex, основна стратегія — «обмеження виконання у пісочниці + автоматичне схвалення низькоризикових дій + AI безпекова класифікація та обробка сповіщень», що дозволяє підвищити ефективність розробки та одночасно контролювати безпеку підприємства.
(Попередній огляд: значне оновлення OpenAI Codex: управління з бекенду Mac, вбудований браузер, генерація зображень, запуск 111 нових плагінів)
(Додатковий контекст: OpenAI запускає інженерського代理 Codex! AI для написання функцій, виправлення багів, запуску тестів)

Цей огляд

Перемикач

• Визначення меж пісочниці, механізм схвалення — коли зупинитись
• Які команди не потребують схвалення, які блокуються
• AI класифікація безпеки代理

OpenAI цього тижня оприлюднила внутрішній звіт про розгортання у компанії, що описує, як команда безпеки виконує Codex у виробничому середовищі. Це реальний запис операцій, від налаштувань пісочниці до класифікації сповіщень, що демонструє, які рівні безпеки потрібно враховувати при впровадженні AI代理 у великій організації.

Визначення меж пісочниці, механізм схвалення — коли зупинитись

У офіційному оголошенні OpenAI зазначає, що основний принцип розгортання Codex — один: забезпечити, щоб代理 залишався ефективним у чітко визначених технічних межах, низькоризикові дії не переривали роботу користувача, а високоризикові — зупинялися для ручної перевірки.

Після реалізації цього принципу він розділяється на два доповнювальні механізми: пісочницю та стратегію схвалення.

Пісочниця відповідає за визначення простору виконання Codex, включаючи дозволені шляхи запису, чи дозволено зовнішнє підключення до мережі, які системні каталоги захищені. Дії поза межами пісочниці — потребують схвалення. Користувач може одноразово затвердити конкретну операцію або дозволити автоматичне виконання подібних дій у межах сесії.

Для щоденних рутинних операцій OpenAI увімкнула «автоматичний режим перевірки» (Auto-review mode). Ця функція передає заплановані дії Codex разом із контекстом останніх операцій до «автоматичного під代理 схвалення». Якщо дія вважається низькоризиковою, вона виконується автоматично, не перериваючи робочий процес; якщо ж ризик високий або є потенційні несподівані наслідки — вона підвищується до ручної перевірки.

Логіка мережевого контролю аналогічна. Codex не має відкритого зовнішнього доступу, OpenAI підтримує список дозволених доменів, які потрібні для нормальної роботи Codex. Доменам, що не входять до списку, за замовчуванням заборонено доступ, а при зустрічі незнайомого домену активується механізм схвалення.

Аутентифікація також включена до системи контролю. CLI та MCP OAuth-токени зберігаються у безпечному сховищі системи, вхід у систему здійснюється через корпоративний Workspace ChatGPT, а дії Codex логуються у платформі відповідності ChatGPT Enterprise, що дозволяє команді безпеки переглядати їх у єдиному інтерфейсі.

Які команди не потребують схвалення, які блокуються

OpenAI не вважає всі Shell-команди однаково ризикованими, а створює багаторівневі правила. Безпечні команди, що часто використовуються інженерами, дозволені для безпосереднього виконання поза пісочницею без схвалення. Високоризикові команди — блокуються або вимагають схвалення.

Ці правила працюють у три рівні, що накладаються один на одного:

• Вимоги хмарного управління (керуються адміністратором, користувач не може їх змінювати)
• Налаштування політик у macOS
• Локальні конфігураційні файли

Ця архітектура дозволяє OpenAI підтримувати єдину базову політику для всієї компанії, одночасно тестуючи різні конфігурації для команд, груп користувачів або середовищ. Ті самі налаштування застосовуються до застосунків Codex на робочому столі, CLI та розширень IDE.

Це прямо контрастує з дослідженнями, які показують, що код, згенерований AI, має на 57% більше вразливостей, ніж написаний вручну. Також цього року було виявлено серйозну уразливість CVSS 9.6 у GitHub Copilot (CVE-2025-53773), що дозволяє через підказки виконати віддалений код.

Ці дані свідчать, що без багаторівневої системи контролю ризики при використанні AI-код代理 можуть бути значно вищими за очікувані. OpenAI вирішила закодувати контроль у конфігураційних налаштуваннях, а не покладатися на внутрішню логіку AI, щоб правила виконувалися як технічний факт, а не як операційна звичка.

AI класифікація безпеки代理

У офіційному оголошенні OpenAI підкреслює, що навіть за найкращого контролю безпеки, після розгортання потрібна видимість. Традиційні журнали безпеки можуть відповісти на питання «що сталося», наприклад, запуск програми, зміна файлу, спроба підключення до мережі. Але справжнє, що потрібно безпеці — зрозуміти «чому Codex зробив так» і «чи відповідає це намірам користувача».

OpenAI дозволила Codex підтримувати логування через OpenTelemetry, що фіксує: підказки користувача, рішення щодо схвалення інструментів, результати роботи інструментів, використання MCP-сервера, дозволені або заборонені мережеві запити. Корпоративні та освітні клієнти можуть отримувати ці логи через платформу відповідності OpenAI.

Ще важливіше, що внутрішньо OpenAI інтегрувала ці логи у «AI безпековий класифікатор». Коли точкові інструменти виявляють підозрілі дії Codex і генерують сповіщення, цей класифікатор автоматично витягує відповідні логи, відновлює початковий запит, активність інструментів, рішення щодо схвалення, результати та мережеву політику, формує аналітичний звіт і передає його команді безпеки для аналізу, допомагаючи визначити, чи це нормальна поведінка代理, безпечна помилка або серйозне інцидентне порушення.

Ці ж дані використовуються для внутрішнього аналізу операцій: відстеження трендів впровадження, визначення найчастіше використовуваних інструментів і MCP-серверів, оцінки частоти блокувань і спрацьовувань мережевих ізоляцій, а також визначення, які компоненти потребують доопрацювання. Ці логи OpenTelemetry можна централізовано імпортувати до SIEM та систем відповідності.

Для організацій, що ще вагаються з безпекою AI代理, цей звіт — своєрідний чекліст: якщо у вашому розгортанні відсутні ці чотири рівні, ризик може бути саме там.