Codex fragt ständig nach Freigaben? Approval Policies, Sandbox und „don’t ask again“ erklärt
Codex fragt nach einer Freigabe, wenn ein Befehl seine Sandbox verlassen muss. Die meisten Beschwerden à la „es fragt ständig“ kommen von einer zu engen Sandbox, einer Einstellung, die es nicht mehr gibt, oder einem „don’t ask again“, das nur für die Sitzung galt.
KURZE ANTWORT
Im aktuellen Codex ist approval_policy entweder on-request (Standard: Das Modell fragt, wenn es nötig ist), never oder eine granular-Tabelle; untrusted wurde entfernt, und on-failure ist jetzt nur noch ein anderer Name für on-request. Wie oft du gefragt wirst, entscheidet vor allem die Sandbox: Mit sandbox_mode = "workspace-write" bearbeitet Codex Dateien und führt Befehle in deinem Projekt ohne Nachfrage aus. Für Befehle, denen du immer vertraust, fügst du in ~/.codex/rules/default.rules eine prefix_rule mit decision = "allow" hinzu. Dort speichert sich auch „don’t ask again for commands that start with …“.
Zuerst: Was sich bei Codex geändert hat
Viele Anleitungen und Forenantworten beschreiben Einstellungen, die nicht mehr funktionieren. Bevor du etwas anpasst, gleich deine ~/.codex/config.toml mit dieser Liste ab:
| Alte Einstellung | Heute |
|---|---|
approval_policy = "untrusted" | Entfernt. Codex meldet „approval_policy = "untrusted" is no longer supported; remove this setting“ (wird nicht mehr unterstützt, Einstellung entfernen). Die Doku empfiehlt stattdessen sandbox_mode = "read-only" mit on-request. |
approval_policy = "on-failure" | Wird noch akzeptiert, aber nur als Alias für on-request. |
--full-auto | Nicht mehr in der CLI-Referenz. Das nächstliegende Flag ist --approve-for-me (Alias --not-so-yolo): automatische Freigabeprüfung mit on-request und der Sandbox workspace-write. |
[profiles.name] in config.toml | Seit Codex 0.134.0 liest --profile name stattdessen $CODEX_HOME/name.config.toml. Ein übrig gebliebener Schlüssel profile = "x" führt jetzt zu einem Fehler. |
/approvals | Verwende /permissions („Set what Codex can do without asking first.“) |
Auch die Codex-Dokumentation ist umgezogen: Die alten Seiten unter developers.openai.com/codex leiten jetzt auf learn.chatgpt.com weiter.
Wie Codex entscheidet, ob es fragt
Zwei Einstellungen arbeiten zusammen. Die Sandbox begrenzt, worauf ein Befehl zugreifen kann: Dateien außerhalb des Projekts, das Netzwerk. Die Approval Policy legt fest, was passiert, wenn ein Befehl mehr braucht, als die Sandbox erlaubt.
| sandbox_mode | Was Codex ohne Nachfrage darf |
|---|---|
read-only (Standard) | Dateien lesen und Befehle in einer schreibgeschützten Sandbox ausführen |
workspace-write | Im Arbeitsverzeichnis automatisch lesen, bearbeiten und Befehle ausführen |
danger-full-access | Alles, ohne Sandbox. Nicht empfohlen |
| approval_policy | Verhalten |
|---|---|
on-request (Standard) | Das Modell entscheidet, wann es fragt. Befehle, die die Sandbox erlaubt, laufen ohne Freigabe |
never | Fragt nie. Was fehlschlägt, geht an das Modell zurück, nicht an dich |
{ granular = { … } } | Einige Abfragekategorien bleiben interaktiv, der Rest wird automatisch abgelehnt (sandbox_approval, rules, skill_approval, request_permissions, mcp_elicitations) |
Wenn du also in read-only bist, braucht jede Änderung ein Ja. Das ist mit Abstand die häufigste Ursache für „Codex fragt bei allem“. Selbst in workspace-write bleiben .git, .codex, .agents und .aws schreibgeschützt, und der Netzwerkzugriff ist aus, solange du ihn nicht einschaltest.
Das ist die Beispielkonfiguration aus der OpenAI-Doku, mit erklärten Workspace-Optionen:
Neuere Versionen bieten außerdem Berechtigungsprofile (default_permissions mit den integrierten Profilen :read-only, :workspace und :danger-full-access). Verwende entweder Profile oder sandbox_mode, nicht beides.
Presets in der CLI, der IDE-Erweiterung und der App
Du musst kein TOML bearbeiten. In der CLI öffnet /permissions die Presets; in der App und der IDE-Erweiterung gibt es unter dem Eingabefeld ein Berechtigungs-Steuerelement. Die CLI-Presets sind:
- Read Only: liest den Workspace; zum Bearbeiten von Dateien oder für Internetzugriff ist eine Freigabe nötig.
- Default: bearbeitet innerhalb des Workspace; für Internetzugriff oder das Bearbeiten anderer Dateien ist eine Freigabe nötig.
- Full Access: bearbeitet außerhalb des Workspace und nutzt das Internet ohne Nachfrage.
Die App und die IDE-Erweiterung nennen dieselbe Auswahl Ask for approval, Approve for me und Full access. Auf älteren IDE-Screenshots heißen sie Chat, Agent und Agent (Full Access).
Bestimmte Befehle mit Regeln erlauben
Wenn Codex einen Befehl ohne Nachfrage außerhalb der Sandbox ausführen soll (etwa gh pr view), schreib eine Regel. Regeln sind experimentell und liegen in einer .rules-Datei in einem Ordner rules/ neben einer Konfigurationsebene, zum Beispiel ~/.codex/rules/default.rules:
allow: ohne Abfrage außerhalb der Sandbox ausführen.prompt: vor jedem passenden Befehl fragen.forbidden: ohne Nachfrage blockieren.
Wenn mehrere Regeln passen, gewinnt die restriktivste: forbidden schlägt prompt, und das wiederum schlägt allow. Teste einen Befehl mit codex execpolicy check, bevor du dich auf eine Regel verlässt.
Was „don’t ask again“ tatsächlich speichert
Die Freigabeabfrage in der Codex CLI bietet verschiedene Arten von „Ja“, und sie gelten sehr unterschiedlich lange:
| Option | Wie lange sie gilt |
|---|---|
| Yes, proceed | Nur dieser eine Befehl |
Yes, and don’t ask again for commands that start with <prefix> | Dauerhaft (als Regel in ~/.codex/rules/default.rules geschrieben) |
| Yes, and don’t ask again for this command in this session | Bis zum Ende der Sitzung |
| Yes, and don’t ask again for these files | Dateiänderungen, für diese Sitzung |
Wenn du immer die Sitzungsoption wählst, wirst du morgen wieder gefragt. Nimm die Präfix-Option oder schreib die Regel selbst.
Codex unter Windows
Unter Windows war „es fragt bei allem“ am schlimmsten. In Issue #10187 erklärte ein Mitglied des OpenAI-Teams den Grund: „Without a sandboxing mechanism, all tool calls need to be manually approved on Windows.“ (Ohne Sandbox-Mechanismus muss unter Windows jeder Tool-Aufruf manuell freigegeben werden.) Codex hat inzwischen eine native Windows-Sandbox und nutzt sie standardmäßig:
mxc: die empfohlene Sandbox auf kompatiblen Windows-Geräten.elevated: der bevorzugte Fallback, wenn MXC nicht verfügbar ist.unelevated: ein Legacy-Fallback.
Führ in der CLI /setup-default-sandbox aus, um die erhöhte Sandbox einzurichten (oder codex sandbox setup --elevated für die IT). Windows 11 wird empfohlen; Windows 10 1809 oder neuer wird nach bestem Bemühen unterstützt. Wenn du in WSL arbeitest, nutzt Codex dort seine Linux-Sandbox, und WSL1 wird nicht mehr unterstützt.
Projektkonfiguration wird nur in vertrauenswürdigen Projekten geladen
Eine .codex/config.toml in einem Repo wird nur gelesen, wenn du dem Projekt vertraust. Wenn deine Projekteinstellungen ignoriert zu werden scheinen, liegt es daran. Ein Vertrauenseintrag in deiner Benutzerkonfiguration sieht so aus:
Einstellungen sind geschichtet, höchste zuerst: Befehlszeilen-Flags und -c-Überschreibungen, die .codex/config.toml des vertrauenswürdigen Projekts, die --profile-Datei, deine ~/.codex/config.toml, dann die Systemstandards.
Zu --yolo
--dangerously-bypass-approvals-and-sandbox (Alias --yolo) führt jeden Befehl ohne Freigaben und ohne Sandbox aus. Der Quellcode beschreibt es als „EXTREMELY DANGEROUS. Intended solely for running in environments that are externally sandboxed.“ (Äußerst gefährlich, nur für extern abgeschottete Umgebungen gedacht.) approval_policy = "never" mit danger-full-access bewirkt dasselbe aus der Konfigurationsdatei. Wenn du nur weniger Abfragen willst, kommst du mit workspace-write plus ein paar Allow-Regeln ans Ziel, und die Sandbox bleibt an.
Für die Abfragen, die du behältst
Sobald Codex nur noch nach wichtigen Dingen fragt (Netzwerk, Dateien außerhalb des Projekts, ein Push), bleibt das Problem, die Frage überhaupt zu bemerken. Pet Island zeigt die Befehls- und Dateiänderungsfreigaben von Codex auf einer kleinen Insel oben auf deinem Bildschirm, mit dem Befehl oder dem Diff, sodass du sie erlauben oder ablehnen kannst, ohne das richtige Terminal zu suchen. Es zeigt an, wann Codex arbeitet und fertig ist, und Codex-Fragen bringen dich mit einem Klick ins richtige Fenster. Es funktioniert mit der Codex CLI und der Codex-App, und wenn die Insel geschlossen ist, fragt Codex wie gewohnt in seinem eigenen Fenster.
FAQ
Wie verhindere ich, dass Codex ständig nach Freigaben fragt?
Verwende sandbox_mode = "workspace-write", damit Codex in deinem Projekt Dateien bearbeiten und Befehle ausführen kann, lass approval_policy = "on-request" und füge für Befehle, denen du immer vertraust, prefix_rule-Einträge mit decision = "allow" in ~/.codex/rules/default.rules hinzu.
Wird approval_policy = "untrusted" noch unterstützt?
Nein. Das aktuelle Codex lehnt es mit „approval_policy = "untrusted" is no longer supported; remove this setting“ ab. Verwende stattdessen sandbox_mode = "read-only" mit approval_policy = "on-request".
Was ist aus --full-auto geworden?
Es steht nicht mehr in der Codex-CLI-Referenz. Die nächstliegende Option ist --approve-for-me (Alias --not-so-yolo), die automatische Freigabeprüfung mit on-request und der Sandbox workspace-write nutzt.
Warum bleibt „don’t ask again“ nicht bestehen?
„Don’t ask again for this command in this session“ gilt nur für die Sitzung. Wähle „don’t ask again for commands that start with …“, das eine Regel in ~/.codex/rules/default.rules speichert.
Warum fragt Codex unter Windows mehr?
Ohne Sandbox braucht jeder Tool-Aufruf eine Freigabe. Codex nutzt inzwischen standardmäßig eine native Windows-Sandbox; führ /setup-default-sandbox aus, falls sie nicht eingerichtet ist.
Warum wird die .codex/config.toml meines Projekts ignoriert?
Codex lädt Projektkonfiguration nur für vertrauenswürdige Projekte.
Quellen
Jede Einstellung und jedes Verhalten auf dieser Seite wurde am 26. Oktober 2026 mit diesen Seiten abgeglichen. Agenten ändern sich schnell; wenn etwas nicht mehr passt, gilt die offizielle Seite.
- OpenAI: Codex agent approvals and security
- OpenAI: Codex permission modes
- OpenAI: Codex config basics
- OpenAI: Codex sample config
- OpenAI: Codex rules
- OpenAI: Codex Windows sandbox
- OpenAI: Codex CLI reference
- OpenAI: Codex slash commands
- openai/codex-Quellcode (Freigabeabfrage, Konfigurationsfehler)
- Issue #10187: Codex fragt wiederholt nach Befehlsfreigabe
- Issue #5131: Dateiänderungen müssen immer freigegeben werden
- Issue #29406: Freigabeabfrage bleibt trotz „don’t ask again“