Die Codex CLI ist der Terminal-Agent von OpenAI: Sie liest Ihr Repository, schreibt Code und führt Befehle aus. Damit das sicher geschieht, kombiniert Codex zwei Mechanismen, die oft verwechselt werden. Die Sandbox bestimmt technisch, was ein Befehl überhaupt darf, etwa wohin geschrieben und ob ins Netz gegangen werden kann. Die Freigabestufe bestimmt, wann Codex Sie vorher fragt. Wer beide Ebenen versteht, kann dem Agenten viel Freiheit geben, ohne die Kontrolle abzugeben. Dieser Guide führt durch Installation und Konfiguration.
Installation und Anmeldung
Die Codex CLI ist Open Source und wird über npm oder unter macOS auch über Homebrew installiert. Beim ersten Start melden Sie sich entweder mit Ihrem ChatGPT-Konto an, sofern Ihr Plan Codex enthält, oder hinterlegen einen API-Schlüssel. Für Teams ist die Wahl nicht nur eine Kostenfrage: Über den Unternehmensvertrag gelten andere Datenschutzzusagen als über private Konten.
Die zentrale Konfiguration liegt in der Datei config.toml im Ordner .codex Ihres Home-Verzeichnisses. Dort legen Sie Standardmodell, Sandbox-Modus, Freigaberegeln und MCP-Server fest. Über Profile lassen sich unterschiedliche Einstellungen für verschiedene Arbeitssituationen speichern und beim Start auswählen.
Die drei Sandbox-Modi verstehen
Im Modus read-only darf Codex lesen, aber weder Dateien ändern noch schreibende Befehle ausführen. Der Modus workspace-write erlaubt Änderungen im aktuellen Arbeitsverzeichnis und in temporären Ordnern, standardmäßig jedoch ohne Netzwerkzugriff. Der Modus danger-full-access hebt alle Beschränkungen auf und gehört ausschließlich in bereits isolierte Umgebungen wie Wegwerf-Container.
Die Sandbox wird vom Betriebssystem durchgesetzt, unter macOS über Seatbelt, unter Linux über Landlock und seccomp. Das ist ein echter Unterschied zu reinen Prompt-Regeln: Auch wenn das Modell einen problematischen Befehl erzeugt, kann er die Grenzen nicht überschreiten. Netzwerkzugriff lässt sich in workspace-write gezielt freischalten, wenn etwa Paketinstallationen nötig sind.
Freigabestufen sinnvoll wählen
Die Freigabestufe legt fest, wann Codex um Erlaubnis bittet. Mit untrusted fragt der Agent bei allem außer bekannten, ungefährlichen Lesebefehlen. Mit on-request entscheidet das Modell, wann es um eine Ausnahme von der Sandbox bittet. Mit never fragt Codex gar nicht nach, was nur zusammen mit einer strengen Sandbox oder in CI sinnvoll ist. Im laufenden Betrieb wechseln Sie die Stufe mit dem Befehl /approvals.
Für den Alltag hat sich workspace-write mit on-request bewährt, was auch die Option für den Full-Auto-Modus einstellt. Für unbekannte Repositories, etwa bei der Analyse eines fremden Projekts, ist read-only der sicherere Start.
Eine praktische Ergänzung sind Profile in der config.toml: ein vorsichtiges Profil für fremden Code, ein Alltagsprofil für das eigene Projekt und ein streng begrenztes Profil für die Automatisierung. Wer beim Start nur das Profil wählt, muss die Kombination aus Sandbox und Freigabe nicht jedes Mal neu überlegen und macht weniger Bedienfehler.
Sichere Grundkonfiguration in fünf Schritten
- Installieren Sie die CLI und melden Sie sich mit dem Konto an, das zu Ihren Datenschutzvorgaben passt.
- Setzen Sie in der config.toml workspace-write als Sandbox-Modus und on-request als Freigabestufe.
- Lassen Sie den Netzwerkzugriff standardmäßig deaktiviert und schalten Sie ihn nur für Projekte frei, die ihn wirklich brauchen.
- Legen Sie im Repository eine AGENTS.md mit Build-, Test- und Sicherheitsregeln an.
- Nutzen Sie für automatisierte Läufe den Befehl codex exec mit festen, restriktiven Einstellungen.
Typische Stolpersteine und Unterstützung
Häufig wird das Projekt außerhalb eines Git-Repositorys gestartet, sodass Änderungen schwer nachvollziehbar sind. Ebenso verbreitet: Secrets im Arbeitsverzeichnis, die der Agent problemlos lesen kann, weil die Sandbox nur Schreiben und Netzwerk begrenzt. Legen Sie sensible Dateien deshalb außerhalb des Projektordners ab oder nutzen Sie einen Secret-Manager.
Ein dritter Stolperstein ist die pauschale Freigabe von Netzwerkzugriff, nur weil eine Paketinstallation einmal scheiterte. Besser ist es, Abhängigkeiten vorab zu installieren oder den Zugriff nur für die betreffende Sitzung zu öffnen. So bleibt die wichtigste Schutzschicht gegen das Abfließen von Daten dauerhaft aktiv.
In unseren Codex-Workshops richten die AI Code Engineers von neooutput mit Ihrem Team eine abgestimmte Konfiguration ein und üben den sicheren Umgang an Ihrer echten Codebasis. Klären Sie Ihre Fragen vorab in einem kostenlosen 15-Minuten-Erstgespräch.
Häufige Fragen
Schützt die Sandbox auch vor dem Lesen von Dateien?
Nur eingeschränkt. Im Modus workspace-write liegt der Fokus auf Schreibzugriffen und Netzwerk. Sensible Dateien sollten Sie daher grundsätzlich nicht im Arbeitsverzeichnis des Agenten ablegen.
Funktioniert die Sandbox unter Windows?
Unter Windows empfiehlt sich der Betrieb in WSL, wo die Linux-Mechanismen greifen. Die native Windows-Unterstützung entwickelt sich weiter, prüfen Sie daher die aktuelle Dokumentation von OpenAI.
Wie nutze ich Codex CLI in einer Pipeline?
Mit codex exec läuft die CLI nicht interaktiv und gibt das Ergebnis aus. Kombinieren Sie das mit einer strengen Sandbox, der Freigabestufe never und einem auf die Aufgabe beschränkten Arbeitsverzeichnis.