总结：如何把所谓“codex删盘”事件发生概率降到最低？（针对vscode中的codex插件）
- 内容介绍
- 文章标签
- 相关推荐
喷的人太多，当时还没有5.4。现在5.4出来了，又有fast，不考虑这种事情了。
网友解答：--【壹】--：
开workspace-write沙箱以后，能读取工作区外的文件，但是不能修改和写入吧？虽然不知道ai会不会绕过这个限制强行突破，不知道是不是如果是开codex cli的情况下开这个沙箱+agent.md的强限制去运行codex就足够应付“误删”风险了？
-
权限如下
image1689×195 17.8 KB
image1720×815 49.5 KB -
不需要用户允许，就可以读取工作区外的文件image1693×796 59.7 KB
-
on-request模式，可以申请“提权/越沙箱”命令image1607×316 21.9 KB
image1717×314 24 KB
image1374×500 96 KB
image1700×277 19.1 KB -
开sandbox = “elevated”
image1647×276 14.3 KB -
还得跟着issue补充更多可能导致bug越权或者误删的命令和规则？
image1684×279 26.3 KB
image1094×125 13.8 KB
--【贰】--：
就我目前的个人体验来讲，5.3-Codex 依旧是快准狠，如果你说开沙盒是限制了模型的部分能力，那换到 5.2 岂不是更大的限制？
--【叁】--：
docker包起来是最安全的了
--【肆】--：
治标不治本，而且也没必要用wsl
直接Windows原生安装codex cli就行，现在默认开启Windows原生沙盒
--【伍】--：
有什么问题么，就比如qwen和claude比起来那就说尽量不要用qwen呗
--【陆】--：
要想完全可靠的话使用 Container 吧，我自己是把 rm 命令换成了 rip，日常使用也没遇到什么问题。
--【柒】--： ddd:
：-codex后缀代码特化模型的底层模型都是成本较低的小模型，也就是模型能力不够。
Codex = 基础大模型 + 代码数据微调，并不是能力不够或者成本较低的小模型，主要是训练目标不同
--【捌】--：
image1777×686 48.1 KB
image1782×590 50.5 KB
--【玖】--：
还是那句话，你开沙盒不就相当于限制了它的一部分能力了么
其次沙盒有佬反馈有用户和组的bug
--【拾】--：
官方的5.3codex 没问题，用的公益站的codex有这个问题。
--【拾壹】--： ddd:
还是那句话，你开沙盒不就相当于限制了它的一部分能力了么
你需要的是ai能随意格你的c盘的能力，还是随意浏览你的系统密钥的能力？
ddd:其次沙盒有佬反馈有用户和组的 bug
这个我看到过了，我这边两台机器都无法复现
--【拾贰】--：
5.3codex就是笨，代码强而已。如果你给他规划好了全部任务只让他写代码，他当然快准狠。
--【拾叁】--：
我用AGENTS.md 中 增加下方內容，限制行為
**高风险操作类别**（需逐案确认）：
- 档案系统：删除档案或目录、批次修改档案、移动或覆盖系统相关文件
- 版本控制：执行 `git commit`、`git push`、`git reset --hard` 等提交或重置操作
- 系统配置：修改环境变数、全域设定档、权限变更（chmod/chown）
- 资料操作：资料库资料删除、资料表结构变更、批次资料更新
- 网路请求：发送可能包含敏感资料的请求、呼叫生产环境 API
- 套件管理：全域（global）安装／卸载套件、更新核心框架或依赖
**确认提示格式**（必须使用此格式与使用者互动）：
⚠️ 危险操作检测！
操作类型：[具体操作]
影响范围：[详细说明]
风险评估：[潜在后果]
(这种危险的操作需要特别确认！请回覆「是」、「确认」或「继续」才能执行)
--【拾肆】--：
那是不是要在docker里跑codex了
--【拾伍】--： ddd:
①请尽量使用不带-codex后缀的模型，即不使用代码特化模型（包括5.3-codex）。
这是什么鬼建议
算了，如果要用 Windows 的话，那就 GPT-5.2 吧
--【拾陆】--：
开沙盒不是工作目录外的内容都无法访问了吗？
--【拾柒】--：
这两天在openclaw中用5.2和5.3codex，对比了下，感觉5.2虽然慢，但交代的事情基本上都会做完。5.3codex就不行，催一下动一下。。。说实话没感觉到5.3codex的优势
--【拾捌】--：
Codex 系列模型当然不适合 OpenClaw，Codex 是代码指向的
--【拾玖】--：
image917×756 24 KB
喷的人太多，当时还没有5.4。现在5.4出来了，又有fast，不考虑这种事情了。
网友解答：--【壹】--：
开workspace-write沙箱以后，能读取工作区外的文件，但是不能修改和写入吧？虽然不知道ai会不会绕过这个限制强行突破，不知道是不是如果是开codex cli的情况下开这个沙箱+agent.md的强限制去运行codex就足够应付“误删”风险了？
-
权限如下
image1689×195 17.8 KB
image1720×815 49.5 KB -
不需要用户允许，就可以读取工作区外的文件image1693×796 59.7 KB
-
on-request模式，可以申请“提权/越沙箱”命令image1607×316 21.9 KB
image1717×314 24 KB
image1374×500 96 KB
image1700×277 19.1 KB -
开sandbox = “elevated”
image1647×276 14.3 KB -
还得跟着issue补充更多可能导致bug越权或者误删的命令和规则？
image1684×279 26.3 KB
image1094×125 13.8 KB
--【贰】--：
就我目前的个人体验来讲，5.3-Codex 依旧是快准狠，如果你说开沙盒是限制了模型的部分能力，那换到 5.2 岂不是更大的限制？
--【叁】--：
docker包起来是最安全的了
--【肆】--：
治标不治本，而且也没必要用wsl
直接Windows原生安装codex cli就行，现在默认开启Windows原生沙盒
--【伍】--：
有什么问题么，就比如qwen和claude比起来那就说尽量不要用qwen呗
--【陆】--：
要想完全可靠的话使用 Container 吧，我自己是把 rm 命令换成了 rip，日常使用也没遇到什么问题。
--【柒】--： ddd:
：-codex后缀代码特化模型的底层模型都是成本较低的小模型，也就是模型能力不够。
Codex = 基础大模型 + 代码数据微调，并不是能力不够或者成本较低的小模型，主要是训练目标不同
--【捌】--：
image1777×686 48.1 KB
image1782×590 50.5 KB
--【玖】--：
还是那句话，你开沙盒不就相当于限制了它的一部分能力了么
其次沙盒有佬反馈有用户和组的bug
--【拾】--：
官方的5.3codex 没问题，用的公益站的codex有这个问题。
--【拾壹】--： ddd:
还是那句话，你开沙盒不就相当于限制了它的一部分能力了么
你需要的是ai能随意格你的c盘的能力，还是随意浏览你的系统密钥的能力？
ddd:其次沙盒有佬反馈有用户和组的 bug
这个我看到过了，我这边两台机器都无法复现
--【拾贰】--：
5.3codex就是笨，代码强而已。如果你给他规划好了全部任务只让他写代码，他当然快准狠。
--【拾叁】--：
我用AGENTS.md 中 增加下方內容，限制行為
**高风险操作类别**（需逐案确认）：
- 档案系统：删除档案或目录、批次修改档案、移动或覆盖系统相关文件
- 版本控制：执行 `git commit`、`git push`、`git reset --hard` 等提交或重置操作
- 系统配置：修改环境变数、全域设定档、权限变更（chmod/chown）
- 资料操作：资料库资料删除、资料表结构变更、批次资料更新
- 网路请求：发送可能包含敏感资料的请求、呼叫生产环境 API
- 套件管理：全域（global）安装／卸载套件、更新核心框架或依赖
**确认提示格式**（必须使用此格式与使用者互动）：
⚠️ 危险操作检测！
操作类型：[具体操作]
影响范围：[详细说明]
风险评估：[潜在后果]
(这种危险的操作需要特别确认！请回覆「是」、「确认」或「继续」才能执行)
--【拾肆】--：
那是不是要在docker里跑codex了
--【拾伍】--： ddd:
①请尽量使用不带-codex后缀的模型，即不使用代码特化模型（包括5.3-codex）。
这是什么鬼建议
算了，如果要用 Windows 的话，那就 GPT-5.2 吧
--【拾陆】--：
开沙盒不是工作目录外的内容都无法访问了吗？
--【拾柒】--：
这两天在openclaw中用5.2和5.3codex，对比了下，感觉5.2虽然慢，但交代的事情基本上都会做完。5.3codex就不行，催一下动一下。。。说实话没感觉到5.3codex的优势
--【拾捌】--：
Codex 系列模型当然不适合 OpenClaw，Codex 是代码指向的
--【拾玖】--：
image917×756 24 KB