Как OpenAI гоняет Codex: sandbox, сеть и OpenTelemetry

Песочница Codex фиксирует деревья записи и режим сети, исходящие запросы проходят через proxy с allow/deny по доменам, а поведение агента складывается в OpenTelemetry — 8 мая 2026 OpenAI собрала эти элементы в единый enterprise-контур с ручным approve на высокорисковых шагах.

Один и тот же жёсткий профиль тянется в десктоп, CLI и IDE-расширение за счёт admin-enforced requirements плюс baseline-файлов: экспериментальный network proxy умеет отдельно открыть loopback, а веб-поиск режут режимами вроде только кешированной выдачи.

Песочница и approve

• sandbox: отдельно задаётся, куда можно писать, доступна ли сеть и какие пути закрыты.
• approval policy: вне песочницы действие можно разрешить один раз или на всю сессию.
• Auto-review mode: запрос с планом уходит подагенту, который автоматически апрувит низкий риск и остановится на сомнительном сценарии.
• Rules по shell: префиксные паттерны вроде read-only вызовов gh pr view или kubectl get отпускают без дополнительного approve, явно опасное режут или снова отправляют на review.

Сеть и идентичность

Интернет не открывается целиком: домены делятся на auto-allowed, блок-lists и зону ручных согласий; в официальных примерах в блок попадает pastebin.com, разрешёнными считаются, например, login.microsoftonline.com и *.openai.com.

Учётные данные CLI и MCP OAuth кладут в OS keyring, вход принудительно через ChatGPT, доступ пришит к UUID конкретного enterprise workspace — цепочка попадает в ChatGPT Compliance Logs Platform и связанный compliance-слой.

Телеметрия «от агента»

• Codex шлёт в OpenTelemetry промпты, решения tool approval, результаты тула, MCP-сессии и allow/deny сетевого прокси.
• Сырые журналы доступны в OpenAI Compliance Platform для Enterprise и Edu и дальше уезжают в SIEM через OTLP по HTTP.
• Внутри самой OpenAI ту же коррелируют с endpoint-алертами через AI security triage agent: видно первоначальный запрос человека и что именно робот исполнил после approve.

Классические защитные логи говорят «что случилось», а agent-native трассировка добавляет связку намерений и утверждённых шагов — без этого SOC легко промахивается по ожиданиям пользователя рядом с автономным кодером.

Источник: Running Codex safely at OpenAI.