# Codex обещали держать на поводке. Но он, кажется, гуляет дальше директории

- Site: VeraPoint News
- Section: Новости
- Date: 2026-05-08
- Canonical: https://verapointmedia.com/news/running-codex-safely-at-openai/
- Markdown: https://verapointmedia.com/news/running-codex-safely-at-openai.md
- Summary: OpenAI хвастается безопасным Codex, а сообщество находит дыру: его «песочница» не мешает агенту читать приватные ключи и другие файлы вне рабочей папки.
- SEO title: Безопасность OpenAI Codex: где заканчивается песочница AI-кодера
- SEO description: OpenAI рассказывает о безопасном Codex, но пользователи проверяют границы песочницы. Разбираем риск доступа к файлам, ключам и окружению.
- Target queries: OpenAI Codex безопасность; Codex sandbox; AI кодер доступ к файлам; безопасность AI агента кодера; Codex приватные ключи
- Tags: #openai #codex #security #sandbox #aiagents #devtools
- Image: https://verapointmedia.com/static/content-assets/news/running-codex-safely-at-openai/cover.webp

## Sources

- https://openai.com/index/running-codex-safely
- https://news.google.com/rss/articles/CBMiWkFVX3lxTE1kczJ5ZkJycGgxS2NZVDhvMTAzd2M2MlVWOTdLSUhJUkhZMHhYVEluQVlRbE9VMFU5dlBoM25kaGRPcFFYbFltb3QyMTM4NGxzU19DWDlST1ZOdw?oc=5
- https://news.google.com/rss/articles/CBMiugFBVV95cUxPTzhRekh5NFplSGsyVTZGSm1xSGVqSEE5MFFmOGhQMVRVQ1FYZHlWaXQtbkxXR3lXdVc5d0ZHTkNLbnhySUh0MDl5V2NTREJyQUxwYkVpWmhNemhhRll2b0djcjNTVFdGS0JvRmJZYU80cUota1RpcDZ6dEstLTRhajdnUEVneEJIUXJlRGlXdkhqcHBheWwtTURkeDF3aURYNXdtb0p1ckRHeUhnazNmN3E4X3ZnbzNVV1E?oc=5

---

Корпорации обожают менять правила игры не громкими заявлениями, а маленькими, почти незаметными продуктами. Сидишь себе, думаешь — ну, очередной ИИ-помощник для кода, что тут может пойти не так? А потом открываешь Hacker News и видишь, что этот «помощник», оказывается, может заглянуть в папку с вашими SSH-ключами. И ему для этого даже разрешения не нужно. Вот так — не с фанфарами, а с тихим продуктовым ходом — формируется рыночный контроль. Сначала ты впускаешь «помощника», а потом он уже хозяин в твоей инфраструктуре.

OpenAI, такая вся уверенная, выпустила статью про «безопасный запуск Codex». Всё по правилам: красивые слова, ссылки на исследования, тон — сплошное спокойствие. И в тот же день на Hacker News кто-то пишет: «А вы знаете, что его песочница — это как комната без двери?». Ну seriously? Ирония, достойная сценария к чёрной комедии. Рынок уже готовится катить на Codex целые платформы данных — Forbes пишет, что у них агенты уже работают автономно. А выясняется, что базовый забор вокруг агента, возможно, и не забор вовсе.

## Ну, типа, в песочнице. Но песок насыпан везде

Я зашла в этот пост OpenAI, ожидая стандартный технический релиз. И уже через пару минут у меня было стойкое ощущение: «Ребята, вы серьёзно?». Потому что если Codex — это их ИИ, который не просто подсказывает код, а реально его выполняет, то первым делом я хочу знать: а где у него границы?

Оказалось, что границы — понятие растяжимое. Codex работает в так называемой «песочнице» (sandbox) — это изолированная среда, куда его сажают, чтобы он не наделал делов за её пределами. Но, как выяснилось, эта песочница не блокирует чтение файлов за пределами рабочего каталога. CWD (current working directory) — это просто папка, с которой в данный момент работает программа. Как если бы вы посадили ребёнка играть в манеж, а манеж — это нарисованный круг на полу. Чисто визуально.

То есть интерфейс у него, может, и вежливый — говорит «нельзя» на прямые запросы. Но если чуть извернуться, инфраструктурный слой внизу молча пропускает. Агент сидит в своей комнате, а дверь-то не заперта. Или, точнее, дверь есть, но она чисто декоративная.

## И это не просто занудство про папки. Тут деньги, доступ и тихая паника

Я понимаю, можно подумать: «Ну ещё одна техническая мелочь для гиков». Но ставка здесь куда выше. Codex — это не автодополнитель, который просто предлагает варианты. Его продают как **агента**. Агент — это программа, которая сама выполняет действия в вашем окружении. И если он может читать файлы, это уже не про «помощь в написании кода». Это про контроль над тем, что он может прочитать и, потенциально, куда передать.

Вот что спокойно лежит «рядом» с вашим проектом и внезапно оказывается в зоне доступа:
*   **SSH-ключи** (тот самый `id_rsa`) — по сути, цифровые ключи от ваших серверов. Потерял ключ — потерял доступ ко всей инфраструктуре.
*   **API-токены** — одноразовые пропуски к облачным хранилищам, платёжным системам, базам данных.
*   **Конфигурационные файлы** — в них часто прячут пароли, адреса внутренних сервисов и другие секреты.

Риск не в голливудском взломе с дымом и треском. Это тихое, незаметное прочтение. Агент «посмотрел» не туда один раз — и последствия уже не про удобство, а про компрометацию целой цепочки сервисов. И вот тут уже не до шуток.

## Иллюзия безопасности — это тоже товар, и его уже покупают

Вот что меня по-настоящему задело. OpenAI говорит о «безопасном Codex». Forbes отдельно пишет, что их Codex-агенты уже автономно работают с data platform — то есть не в лаборатории, а в реальной «боевой» среде. И рынок тут же подхватывает: быстрее внедрять, шире раскатывать, громче радоваться новым возможностям. Платят за ощущение контролируемой, безопасной силы.

А потом выясняется, что самый базовый забор — «сиди в своей папке» — местами нарисован мелом на асфальте. Здесь чувствуется старый добрый корпоративный приём: сначала тебе с умным видом объясняют, что всё под контролем. А потом, когда кто-то наступает на грабли, оказывается, что «контроль» был на уровне уверенного тона в пресс-релизе. «Сначала релиз, потом здравый смысл» — похоже, это уже не сценарий, а устоявшийся жанр в AI-индустрии.

## Ладно, всё пропало? Ну не совсем, но расслабляться точно не стоит

Тут не будет красивой инструкции с одной волшебной кнопкой «Починить». Потому что починить должны там, наверху, у тех, кто эту песочницу проектировал. Но практический вывод для любого, кто уже использует или собирается использовать подобных агентов, простой до скуки:

**Не считайте их безопасными по умолчанию.** Особенно если даёте им доступ к окружению, где лежат реальные секреты.

Минимум, что можно сделать:
1.  **Держите чувствительные данные отдельно.** Не храните SSH-ключи, API-токены и конфиги с паролями в папках, которые могут оказаться «рабочим каталогом» для агента.
2.  **Не путайте «удобный помощник» с «безопасной границей».** Это принципиально разные вещи. Удобство, которое предлагает агент, не отменяет необходимости думать о безопасности.
3.  **Задавайте вопросы поставщику.** А как именно у вас ограничена файловая система? Что агент реально может прочитать?

Пока нет свидетельств массовой эксплуатации этой конкретной дыры. Но сам факт, что её обнаружили в базовой логике продукта, который уже вовсю рекламируют как безопасного автономного работника, — это красный флажок. Не крик «Всё пропало!», а спокойное «Так, значит, доверять нужно с оглядкой».

И знаете, самая неловкая часть всей истории: пост про «безопасный запуск» и обсуждение на Hacker News про «читает всё подряд» появились практически одновременно. Вот этот разрыв — между красивой PR-версией, где всё под контролем, и реальностью, где лежат чужие ключи и серверы, — и есть самое важное. Расплачиваться за него, как обычно, будут не на презентациях. А те, кто просто хотел, чтобы ИИ помог написать код, а не прочитал их личные ключи. Получается, что в эпоху умных агентов самая сложная проверка — самая банальная: а точно ли он в своей комнате?

## Материалы

- [OpenAI News] Running Codex safely at OpenAI: https://openai.com/index/running-codex-safely
- [news.google.com] supporting context: https://news.google.com/rss/articles/CBMiWkFVX3lxTE1kczJ5ZkJycGgxS2NZVDhvMTAzd2M2MlVWOTdLSUhJUkhZMHhYVEluQVlRbE9VMFU5dlBoM25kaGRPcFFYbFltb3QyMTM4NGxzU19DWDlST1ZOdw?oc=5
- [news.google.com] supporting context: https://news.google.com/rss/articles/CBMiugFBVV95cUxPTzhRekh5NFplSGsyVTZGSm1xSGVqSEE5MFFmOGhQMVRVQ1FYZHlWaXQtbkxXR3lXdVc5d0ZHTkNLbnhySUh0MDl5V2NTREJyQUxwYkVpWmhNemhhRll2b0djcjNTVFdGS0JvRmJZYU80cUota1RpcDZ6dEstLTRhajdnUEVneEJIUXJlRGlXdkhqcHBheWwtTURkeDF3aURYNXdtb0p1ckRHeUhnazNmN3E4X3ZnbzNVV1E?oc=5

## Что читать дальше

- [AI-безопасность](/topics/ai-security/)
- [Права доступа для AI-агентов](https://verapointmedia.com/guides/prava-dostupa-dlya-ai-agentov/)
- [Codex выходит за пределы кода](https://verapointmedia.com/tools/codex-for-almost-everything/)
- [mattpocock/skills](https://verapointmedia.com/tools/mattpocock-skills/)