Sandbox - это техническая граница выполнения, и в Codex она обеспечивается операционной системой, а не одной лишь просьбой к модели. Локальные команды в CLI, IDE-расширении и desktop-приложении выполняются в OS-enforced sandbox. Механизм зависит от платформы: на macOS используется Seatbelt, на Linux и WSL - bubblewrap и seccomp с compatibility-путями, на native Windows - elevated- или более слабая unelevated-реализация. Понимать это важно: сила границы зависит от платформы, и Windows-реализация не равна Linux по строгости.

Внутри sandbox есть защита, которая работает даже там, где запись в целом разрешена. Даже внутри writable root отдельно защищены .git, .agents и .codex. Это не случайность, а осознанная граница: она мешает агенту незаметно менять метаданные репозитория, собственные инструкции и политику. Иначе агент мог бы, имея право писать в проект, переписать правила, по которым сам же и работает, - а это подрыв всей модели доверия изнутри.

Отсюда важное правило про расширение доступа. Если агенту нужен доступ к дополнительному каталогу, его добавляют узко - через --add-dir или профиль, - а не снимают sandbox целиком. Разница принципиальна: узкое расширение открывает ровно то, что нужно задаче, тогда как отключение sandbox открывает всё сразу. Соблазн "просто выключить, чтобы не мешало" велик, но именно он превращает управляемую границу в её отсутствие, а обратимую настройку - в необратимый риск.

Полезно один раз увидеть базовую настройку sandbox целиком. Ниже - режим workspace-write с выключенным сетевым доступом и web_search в cached-режиме. Эта конфигурация разрешает инструмент кэшированного поиска, но не даёт npm, тестам или shell-скриптам выхода в сеть. К этой форме возвращаются, задавая рабочую границу: она показывает, что файловый доступ и сетевой доступ - отдельные оси, и одно не включает другое автоматически.

Сетевая ось требует отдельного внимания, потому что вокруг неё много путаницы. Разрешённый инструмент кэшированного поиска - это не то же самое, что выход в сеть для порождённых команд. Чтобы ограничить уже включённую сеть по назначениям, используют network proxy policy; при этом сам флаг proxy не включает сеть. Это разведение стоит запомнить: включение поиска, включение сети и ограничение сети по доменам - три разных действия, и путать их - значит неверно оценить, что агент реально может отправить наружу.