Codex bei OpenAI sicher einsetzen
Ein Blick auf die Kontrollen, Grenzen und Telemetrie, mit denen OpenAI Coding-Agenten in realen Workflows steuert.
Da KI-Systeme immer leistungsfähiger werden, handeln sie zunehmend im Auftrag von Nutzenden. Coding-Agenten können autonom Repositorys prüfen, Befehle ausführen und mit Entwicklungstools interagieren. Das sind Aufgaben, die zuvor eine direkte Ausführung durch Menschen erforderten.
Mit Codex haben wir diese Fähigkeiten zusammen mit den Kontrollen entwickelt, die Organisationen für eine sichere Bereitstellung benötigen. Sicherheitsteams brauchen Möglichkeiten, die Arbeitsweise von Agenten zu steuern: worauf sie zugreifen können, wann eine menschliche Freigabe erforderlich ist, mit welchen Systemen sie interagieren dürfen und welche Telemetrie zur Erklärung ihres Verhaltens vorhanden ist.
Bei OpenAI setzen wir Codex mit einigen klaren Zielen ein: den Agenten innerhalb klarer technischer Grenzen halten, Entwickler:innen bei risikoarmen Aktionen schnell vorankommen lassen und risikoreichere Aktionen ausdrücklich kennzeichnen. Außerdem bewahren wir die agenteneigene Telemetrie auf, damit wir nachvollziehen und prüfen können, was der Agent getan hat. In der Praxis bedeutet das verwaltete Konfiguration, eingeschränkte Ausführung, Netzwerkrichtlinien und agenteneigene Protokolle.
Wir stellen Codex nach einem einfachen Prinzip bereit: Es soll in einer begrenzten Umgebung produktiv sein, risikoarme Alltagsaktionen sollen reibungslos ablaufen und risikoreichere Aktionen sollen zur Überprüfung angehalten werden.
Freigaben und Sandboxing funktionieren zusammen. Die Sandbox definiert die technische Ausführungsgrenze, einschließlich dessen, wo Codex Schreibrechte hat, ob es auf das Netzwerk zugreifen kann und welche Pfade geschützt bleiben. Die Freigaberichtlinie bestimmt, wann Codex um Erlaubnis bitten muss, eine Aktion auszuführen, etwa wenn es etwas außerhalb der Sandbox tun muss. Nutzende können die Aktion einmal freigeben oder diese Art von Aktion für die jeweilige Sitzung freigeben.
Für Anfragen, die die Sandbox-Grenze überschreiten, nutzen wir den Modus „Automatische Prüfung“(wird in einem neuen Fenster geöffnet), eine Funktion, die, wenn sie aktiviert ist, bestimmte Arten von Anfragen automatisch genehmigt, um zu verringern, wie oft Nutzende anhalten und Codex-Aktionen freigeben müssen. Codex sendet die geplante Aktion und den jüngsten Kontext an den Unteragenten für automatische Freigaben, der risikoarme Aktionen – oder risikoreiche Aktionen bei ausreichender Benutzerberechtigung – automatisch genehmigen kann, statt die Nutzenden zu unterbrechen. So bleibt Codex bei Routineaufgaben bei der Arbeit, während es bei risikoreicheren Aktionen oder Aktionen mit unbeabsichtigten Folgen weiterhin anhält.
Wir betreiben Codex nicht mit uneingeschränktem ausgehendem Zugriff. Unsere verwaltete Netzwerkrichtlinie erlaubt erwartete Ziele, blockiert Ziele, die Codex nicht erreichen soll, und verlangt eine Freigabe für unbekannte Domains. So kann Codex gängige, als sicher bekannte Workflows abschließen, ohne umfassenden Netzwerkzugriff zu erhalten.
Wir verwalten auch, wie sich Codex authentifiziert. CLI- und MCP-OAuth-Anmeldedaten werden im sicheren Schlüsselbund des Betriebssystems gespeichert, die Anmeldung wird über ChatGPT erzwungen, und der Zugriff ist an unseren ChatGPT‑Enterprise‑Workspace gebunden. So bleibt die Nutzung von Codex an unsere Kontrollen auf Workspace-Ebene gekoppelt, und die Codex-Aktivität ist in der ChatGPT‑Plattform für Compliance-Protokolle für unseren Enterprise-Workspace verfügbar.
Wir verwenden Regeln, damit Codex nicht jeden Shell-Befehl als gleich sicher behandelt. Gängige harmlose Befehle, die Entwickler:innen in der täglichen Entwicklung verwenden, sind außerhalb der Sandbox ohne Freigabe erlaubt, und bestimmte gefährliche Befehle können blockiert werden oder eine Freigabe erfordern. So kann Codex gewöhnliche Entwicklungsaufgaben schnell durchlaufen, während bei Mustern, die wir außerhalb der Sandbox nicht ausführen möchten, weiterhin eine Überprüfung erzwungen oder die Ausführung blockiert wird.
Wir setzen diese Sicherheitsstrategie durch eine Kombination aus cloudverwalteten Anforderungen, verwalteten macOS-Einstellungen und lokalen Anforderungsdateien um. Anforderungen sind von Administrator:innen erzwungene Kontrollen, die Nutzende nicht überschreiben können. Die verwalteten macOS-Einstellungen und lokalen Anforderungsdateien ermöglichen uns, eine konsistente Basis beizubehalten und gleichzeitig unterschiedliche Konfigurationen nach Team, Nutzergruppe oder Umgebung zu testen. Diese Konfigurationen gelten für lokale Codex-Oberflächen, einschließlich der Desktop-App, CLI und IDE-Erweiterung.
Kontrolle ist nur die halbe Aufgabe. Sobald Agenten bereitgestellt sind, brauchen Sicherheitsteams Einblick darin, was diese Agenten tun und warum. Herkömmliche Sicherheitsprotokolle sind weiterhin nützlich, wenn von Codex ausgeführte Aktionen angesehen werden sollen, aber sie beantworten meist nur, was passiert ist: Ein Prozess wurde gestartet, eine Datei geändert, eine Netzwerkverbindung wurde versucht. Verteidigende müssen weiterhin herausfinden, warum Codex etwas getan hat oder welche Nutzerabsicht dahinter steckte.
Codex kann Sicherheitsteams eine agentenbewusstere Sicht geben. Codex unterstützt den Export von OpenTelemetry-Protokollen für verschiedene Codex-Ereignisse wie Nutzer-Prompts, Entscheidungen zu Tool-Freigaben, Ergebnisse von Tool-Ausführungen, die Nutzung von MCP-Servern sowie Zulassungs- oder Ablehnungsereignisse des Netzwerk-Proxys. Codex-Aktivitätsprotokolle sind außerdem über die OpenAI-Compliance-Plattform für Enterprise- und Edu-Kund:innen verfügbar.
Bei OpenAI nutzen wir Codex-Protokolle zusammen mit unserem KI-gestützten Agenten für die Sicherheits-Triage. Wenn eine Endpunktwarnung meldet, dass Codex etwas Ungewöhnliches getan hat, teilt uns das Endpunktsicherheitstool mit, dass ein verdächtiges Ereignis aufgetreten ist. Codex-Protokolle helfen dann dabei, die zugrunde liegende Absicht von Nutzer:in und Agent zu erklären. Unser KI-Sicherheits-Triage-Agent verwendet Codex-Protokolle, um die ursprüngliche Anfrage, Tool-Aktivität, Freigabeentscheidungen, Tool-Ergebnisse und jede relevante Entscheidung oder Blockierung durch die Netzwerkrichtlinie zu prüfen. Der KI-Sicherheits-Triage-Agent stellt seine Analyse unserem Sicherheitsteam zur Überprüfung bereit, um zwischen erwartetem Agentenverhalten, harmlosen Fehlern und Aktivitäten zu unterscheiden, die tatsächlich eine Eskalation rechtfertigen.
Wir nutzen dieselbe Telemetrie auch operativ. Wir verwenden diese Protokolle, um zu verstehen, wie sich die interne Einführung verändert, welche Tools und MCP-Server genutzt werden, wie oft die Netzwerk-Sandbox blockiert oder Rückfragen stellt und wo die Einführung noch nachjustiert werden muss. Diese OpenTelemetry-Protokolle können in SIEM- und Compliance-Protokollierungssystemen zentralisiert werden.
Da Coding-Agenten wie Codex in Entwicklungsworkflows integriert werden, brauchen Sicherheitsteams Werkzeuge, die speziell für die Steuerung dieses Wandels ausgelegt sind. Codex bietet die Steuerungsoberflächen, das Konfigurationsmanagement, das Sandboxing und die detaillierte Telemetrie für Agenten, die für eine sichere Einführung erforderlich sind. Mit diesen Fähigkeiten können Sicherheitsteams Codex mit größerem Vertrauen aktivieren und dabei die Produktivität von Entwickler:innen mit der für Unternehmenssicherheit erforderlichen Transparenz und Kontrolle vereinen. Weitere Informationen zur Konfiguration von Codex findest du hier(wird in einem neuen Fenster geöffnet) und zur Compliance API hier(wird in einem neuen Fenster geöffnet).
