코덱스 CLI의 기본값은 workspace-write 샌드박스와 on-request 승인, 네트워크 꺼짐입니다. read-only, never, --yolo 조합과 untrusted 정책 폐지 대응을 OpenAI 공식 문서로 확인했습니다.
코덱스 CLI를 Git 저장소 폴더에서 실행하면 기본은 Auto 프리셋, 다시 말해 작업 폴더 안에서만 쓰기가 되는 workspace-write 샌드박스와 필요할 때 묻는 on-request 승인입니다. 이 상태에서 코덱스는 작업 폴더 안의 파일을 읽고 고치고 명령을 실행하지만, 폴더 밖 파일을 고치거나 네트워크가 필요한 명령은 먼저 승인을 받습니다. 네트워크는 기본으로 꺼져 있습니다. 예전 설정 파일에 approval_policy = "untrusted"가 남아 있다면 지금은 지원되지 않아 실행이 막힐 수 있으니 지워야 합니다. 모드 조합과 설정 파일 예시는 2026년 10월 28일에 연 OpenAI 코덱스 문서 "Agent approvals & security" 기준입니다.
바로 답 | 샌드박스는 코덱스가 기술적으로 할 수 있는 범위, 승인 정책은 실행 전에 나에게 물어야 하는 시점을 정합니다.
OpenAI 문서는 코덱스 보안 통제를 두 층으로 나눕니다. 샌드박스 모드는 모델이 만든 명령을 실행할 때 어디에 쓸 수 있는지, 네트워크에 접근할 수 있는지를 운영체제 수준에서 막습니다. 승인 정책은 샌드박스를 벗어나거나 네트워크를 쓰는 등의 행동 전에 멈추고 물어볼지를 정합니다.
두 값은 따로 고를 수 있어서, 읽기 전용 샌드박스에 승인 질문 없음(never)을 붙이면 CI에서 코드를 읽기만 하는 자동 실행이 되고, 쓰기 가능 샌드박스에 on-request를 붙이면 평소 대화형 작업에 맞는 Auto 프리셋이 됩니다.
| 샌드박스 모드 | 쓸 수 있는 곳 | 네트워크 |
|---|---|---|
read-only | 쓰기 불가, 읽기와 명령 실행만 | 꺼짐 |
workspace-write | 현재 폴더와 /tmp 같은 임시 폴더 | 기본 꺼짐, 설정으로 켬 |
danger-full-access | 제한 없음 | 제한 없음 |
바로 답 | 평소에는 기본 Auto, 코드를 읽고 계획만 세울 때는 read-only, CI에서는 codex exec에 샌드박스를 명시해 쓰세요.
| 용도 | 명령 또는 설정 | 동작 |
|---|---|---|
| Auto (기본) | --sandbox workspace-write --ask-for-approval on-request | 작업 폴더 안 읽기, 수정, 명령 실행. 폴더 밖 수정과 네트워크는 승인 필요 |
| 읽기 전용 탐색 | --sandbox read-only --ask-for-approval on-request | 읽기와 읽기 전용 명령만, 벗어나면 승인 요청 |
| CI 읽기 전용 | --sandbox read-only --ask-for-approval never | 승인 질문 없이 읽기 전용 범위 안에서만 실행 |
| 자동 검토 | approvals_reviewer = "auto_review" | 승인이 필요한 요청을 검토 에이전트가 먼저 판단 |
| 전체 권한 | --yolo (--dangerously-bypass-approvals-and-sandbox) | 샌드박스와 승인 모두 없음, 문서상 권장하지 않음 |
문서에 따르면 코덱스는 시작할 때 폴더가 버전 관리 중인지 확인해, Git 저장소면 Auto를, 아니면 read-only를 권합니다. 대화 중에는 /permissions로 모드를 바꾸고 /status로 작업 폴더 범위를 확인할 수 있습니다. 비대화형 실행은 codex exec --sandbox workspace-write 형식입니다.
바로 답 | ~/.codex/config.toml의 [sandbox_workspace_write]에 network_access = true를 넣으면 됩니다.
workspace-write에서 네트워크 허용 (OpenAI 문서 설정)[sandbox_workspace_write] network_access = true
네트워크를 켜면 명령이 외부로 나가는 길이 열립니다. 특정 도메인만 허용하고 싶다면 [features.network_proxy]를 켜고 domains에 allow, deny 규칙을 적어야 합니다. 문서는 도메인 규칙만 적고 프록시 기능을 켜지 않으면 목적지가 제한되지 않는다고 경고합니다.
웹 검색 도구는 명령 네트워크와 별개입니다. 기본값은 OpenAI가 관리하는 색인을 쓰는 cached 모드이고, --yolo 같은 전체 권한 설정에서는 live 검색이 기본이 됩니다. 외부 페이지에 숨겨진 지시를 따를 위험이 있으니 live 검색과 네트워크는 필요한 작업에서만 켜세요.
바로 답 | 있습니다. 작업 폴더 안의 .git, .agents, .codex, .aws는 읽기 전용으로 보호됩니다.
기본 workspace-write 정책에서도 이 경로들은 하위 폴더까지 읽기 전용입니다. .git이 다른 위치를 가리키는 파일이라면 그 실제 Git 폴더도 보호됩니다. 코덱스가 직접 커밋하지 못하고 승인을 요청하는 이유가 여기에 있습니다.
운영체제별 샌드박스 구현도 다릅니다. macOS는 Seatbelt(sandbox-exec), 리눅스는 bwrap과 seccomp, 윈도우는 MXC를 쓰며, WSL1은 0.115부터 지원되지 않아 WSL2를 써야 합니다.
codex exec에 read-only나 workspace-write를 명시하고 승인은 never로 두세요.approval_policy = "untrusted"를 지우고 on-request나 프로젝트 trust_level로 바꾸세요.바로 답 | approval_policy = "untrusted" 설정을 지우고, 엄격한 승인이 필요한 프로젝트는 trust_level = "untrusted" 항목으로 옮기세요.
읽기 전용 대화형 설정 (OpenAI 문서 예시)sandbox_mode = "read-only" approval_policy = "on-request"
특정 프로젝트만 엄격하게 (~/.codex/config.toml)[projects."/path/to/project"] trust_level = "untrusted"
approval_policy = "untrusted"가 남아 있지 않나요?/status로 작업 폴더 범위가 의도한 폴더인지 확인했나요?--yolo는 격리된 컨테이너처럼 바깥 경계가 있는 곳에서만 쓰고 있나요?git status를 깨끗하게 해 두었나요?--ask-for-approval never 또는 -a never를 쓰면 됩니다. 이 옵션은 모든 샌드박스 모드와 함께 쓸 수 있어서, 샌드박스 범위 안에서만 자동으로 실행됩니다.
프로필 파일로 저장하고 codex --profile 이름으로 고르면 됩니다. 문서 예시는 ~/.codex/full_auto.config.toml처럼 파일 이름에 프로필 이름을 씁니다.
컨테이너 설정이 bwrap이나 seccomp 동작을 막으면 샌드박스가 동작하지 않을 수 있습니다. 문서는 이때 컨테이너 자체로 격리를 갖춘 뒤 그 안에서 --sandbox danger-full-access로 실행하라고 안내합니다.
출처: OpenAI Codex, Agent approvals & security (2026년 10월 28일 확인). 관련 글: 코덱스 CLI 설치와 사용법, 코덱스 요금제, AGENTS.md 작성법.
