A OpenAI detalhou uma sandbox redesenhada para o Codex no Windows. Em vez de depender principalmente de execução sem privilégios e variáveis de ambiente, o sistema dá ao Codex identidades Windows separadas: CodexSandboxOffline por padrão e CodexSandboxOnline apenas quando o acesso à rede é permitido explicitamente.
A mudança importa porque processos filhos podem contornar variáveis de ambiente. A nova cadeia usa isolamento de credenciais via DPAPI, regras de firewall, o broker codex-command-runner.exe e checagens da árvore de processos. A escrita fica restrita ao workspace atual, e diretórios sensíveis como .git, .codex e .agents são bloqueados.
Para empresas, não é só uma nota técnica. Agentes de programação estão saindo da disputa de benchmarks para perguntas de compra: execução local, auditoria e limites em incidentes. Uma sandbox em nível Windows dá à OpenAI uma resposta mais clara para equipes de TI.
Fontes: OpenAI; WinBuzzer; Gadget Hacks, CocoLoop