¿Codex no deja de pedir aprobación? Políticas de aprobación, sandbox y “don’t ask again”, explicados
Codex pide aprobación cuando un comando necesita salir de su sandbox. La mayoría de las quejas de “no para de preguntar” vienen de un sandbox demasiado restrictivo, de un ajuste que ya no existe o de un “don’t ask again” que solo duró la sesión.
RESPUESTA CORTA
En el Codex actual, approval_policy puede ser on-request (el predeterminado: el modelo pregunta cuando lo necesita), never o una tabla granular; untrusted se eliminó y on-failure ahora es solo otro nombre de on-request. Lo que más decide cuántas veces te preguntan es el sandbox: con sandbox_mode = "workspace-write", Codex edita y ejecuta comandos dentro de tu proyecto sin preguntar. Para los comandos en los que siempre confías, añade una prefix_rule con decision = "allow" en ~/.codex/rules/default.rules. Ahí es también donde se guarda “don’t ask again for commands that start with …”.
Primero: qué ha cambiado en Codex
Muchas guías y respuestas de foros describen ajustes que ya no funcionan. Antes de ajustar nada, compara tu ~/.codex/config.toml con esta lista:
| Ajuste antiguo | Hoy |
|---|---|
approval_policy = "untrusted" | Eliminado. Codex muestra “approval_policy = "untrusted" is no longer supported; remove this setting”. La documentación sugiere en su lugar sandbox_mode = "read-only" con on-request. |
approval_policy = "on-failure" | Se sigue aceptando, pero solo como alias de on-request. |
--full-auto | Ya no aparece en la referencia de la CLI. La opción más parecida es --approve-for-me (alias --not-so-yolo): revisión automática de aprobaciones con on-request y el sandbox workspace-write. |
[profiles.name] dentro de config.toml | Desde Codex 0.134.0, --profile name lee en su lugar $CODEX_HOME/name.config.toml. Una clave profile = "x" que haya quedado ahora produce un error. |
/approvals | Usa /permissions (“Set what Codex can do without asking first.”) |
La documentación de Codex también se ha mudado: las antiguas páginas de developers.openai.com/codex ahora redirigen a learn.chatgpt.com.
Cómo decide Codex si preguntar
Dos ajustes trabajan juntos. El sandbox limita lo que puede tocar un comando: archivos fuera del proyecto, la red. La política de aprobación decide qué ocurre cuando un comando necesita más de lo que permite el sandbox.
| sandbox_mode | Qué puede hacer Codex sin preguntar |
|---|---|
read-only (predeterminado) | Leer archivos y ejecutar comandos en un sandbox de solo lectura |
workspace-write | Leer, editar y ejecutar comandos en el directorio de trabajo automáticamente |
danger-full-access | Todo, sin sandbox. No recomendado |
| approval_policy | Comportamiento |
|---|---|
on-request (predeterminado) | El modelo decide cuándo preguntar. Los comandos que permite el sandbox se ejecutan sin aprobación |
never | Nunca pregunta. Lo que falla se devuelve al modelo, no se escala a ti |
{ granular = { … } } | Mantiene interactivas algunas categorías de solicitudes y rechaza automáticamente el resto (sandbox_approval, rules, skill_approval, request_permissions, mcp_elicitations) |
Así que si estás en read-only, cada edición necesita un sí. Esa es la causa más común de “Codex pregunta por todo”. Incluso en workspace-write, .git, .codex, .agents y .aws siguen siendo de solo lectura, y el acceso a la red está desactivado salvo que lo actives.
Esta es la configuración de ejemplo de la documentación de OpenAI, con las opciones del espacio de trabajo explicadas:
Las versiones más recientes también ofrecen perfiles de permisos (default_permissions con los integrados :read-only, :workspace y :danger-full-access). Usa perfiles o sandbox_mode, no ambos.
Ajustes predefinidos en la CLI, la extensión del IDE y la app
No hace falta editar TOML. En la CLI, /permissions abre los ajustes predefinidos; en la app y en la extensión del IDE hay un control de permisos debajo del cuadro de texto. Los ajustes predefinidos de la CLI son:
- Read Only: lee el espacio de trabajo; hace falta aprobación para editar archivos o acceder a internet.
- Default: edita dentro del espacio de trabajo; hace falta aprobación para acceder a internet o editar otros archivos.
- Full Access: edita fuera del espacio de trabajo y usa internet sin preguntar.
La app y la extensión del IDE muestran la misma elección como Ask for approval, Approve for me y Full access. Las capturas antiguas del IDE los llaman Chat, Agent y Agent (Full Access).
Permitir comandos concretos con reglas
Cuando quieras que Codex ejecute un comando fuera del sandbox sin preguntar (por ejemplo gh pr view), escribe una regla. Las reglas son experimentales y se guardan en un archivo .rules dentro de una carpeta rules/ junto a una capa de configuración, por ejemplo ~/.codex/rules/default.rules:
allow: se ejecuta fuera del sandbox sin preguntar.prompt: pregunta antes de cada comando que coincida.forbidden: bloquea sin preguntar.
Cuando coinciden varias reglas, gana la más restrictiva: forbidden gana a prompt, que gana a allow. Prueba un comando con codex execpolicy check antes de confiar en una regla.
Qué guarda realmente “don’t ask again”
La solicitud de aprobación de Codex CLI ofrece distintos tipos de “sí”, y duran tiempos muy diferentes:
| Opción | Cuánto dura |
|---|---|
| Yes, proceed | Solo este comando |
Yes, and don’t ask again for commands that start with <prefix> | Permanentemente (se escribe como regla en ~/.codex/rules/default.rules) |
| Yes, and don’t ask again for this command in this session | Hasta que termina la sesión |
| Yes, and don’t ask again for these files | Ediciones de archivos, durante esta sesión |
Si sigues eligiendo la opción de sesión, mañana te volverán a preguntar. Elige la opción del prefijo o escribe tú la regla.
Codex en Windows
Windows era donde el problema de “pregunta por todo” era peor. En el issue #10187, un miembro del equipo de OpenAI explicó por qué: “Without a sandboxing mechanism, all tool calls need to be manually approved on Windows.” (sin un mecanismo de sandbox, en Windows hay que aprobar manualmente todas las llamadas a herramientas). Codex ahora tiene un sandbox nativo de Windows y lo usa de forma predeterminada:
mxc: el sandbox recomendado en dispositivos Windows compatibles.elevated: la alternativa preferida cuando MXC no está disponible.unelevated: una alternativa heredada.
Ejecuta /setup-default-sandbox en la CLI para configurar el sandbox elevated (o codex sandbox setup --elevated para el equipo de TI). Se recomienda Windows 11; Windows 10 1809 o posterior tiene soporte sin garantías. Si trabajas en WSL, Codex usa allí su sandbox de Linux, y WSL1 ya no es compatible.
La configuración del proyecto solo se carga en proyectos de confianza
Un .codex/config.toml dentro de un repositorio solo se lee cuando confías en el proyecto. Si parece que se ignora la configuración de tu proyecto, ese es el motivo. Una entrada de confianza en tu configuración de usuario tiene este aspecto:
La configuración va por capas, de mayor a menor prioridad: opciones de línea de comandos y anulaciones con -c, el .codex/config.toml del proyecto de confianza, el archivo de --profile, tu ~/.codex/config.toml y, por último, los valores predeterminados del sistema.
Sobre --yolo
--dangerously-bypass-approvals-and-sandbox (alias --yolo) ejecuta todos los comandos sin aprobaciones ni sandbox. El código fuente lo describe como “EXTREMELY DANGEROUS. Intended solely for running in environments that are externally sandboxed.” (extremadamente peligroso; pensado únicamente para entornos aislados externamente). approval_policy = "never" con danger-full-access hace lo mismo desde el archivo de configuración. Si solo quieres menos solicitudes, workspace-write más unas cuantas reglas allow te lo dan con el sandbox todavía activo.
Para las solicitudes que conservas
Cuando Codex solo pregunta por cosas que importan (la red, archivos fuera del proyecto, un push), el problema restante es darte cuenta de la pregunta. Pet Island muestra las aprobaciones de comandos y de edición de archivos de Codex en una pequeña isla en la parte superior de la pantalla, con el comando o el diff, para que puedas permitirlas o denegarlas sin buscar la terminal correcta. Muestra cuándo Codex está trabajando y cuándo ha terminado, y las preguntas de Codex te llevan a la ventana correcta con un clic. Funciona con Codex CLI y con la app de Codex, y si la isla está cerrada, Codex pregunta en su propia ventana como siempre.
PREGUNTAS FRECUENTES
¿Cómo evito que Codex pida aprobación todo el tiempo?
Usa sandbox_mode = "workspace-write" para que Codex pueda editar y ejecutar comandos dentro de tu proyecto, mantén approval_policy = "on-request" y añade entradas prefix_rule con decision = "allow" en ~/.codex/rules/default.rules para los comandos en los que siempre confías.
¿Sigue siendo compatible approval_policy = "untrusted"?
No. El Codex actual lo rechaza con “approval_policy = "untrusted" is no longer supported; remove this setting”. Usa en su lugar sandbox_mode = "read-only" con approval_policy = "on-request".
¿Qué pasó con --full-auto?
Ya no aparece en la referencia de Codex CLI. La opción más parecida es --approve-for-me (alias --not-so-yolo), que usa la revisión automática de aprobaciones con on-request y el sandbox workspace-write.
¿Por qué no se mantiene “don’t ask again”?
“Don’t ask again for this command in this session” solo dura la sesión. Elige “don’t ask again for commands that start with …”, que guarda una regla en ~/.codex/rules/default.rules.
¿Por qué Codex pregunta más en Windows?
Sin sandbox, cada llamada a una herramienta necesita aprobación. Codex ahora usa de forma predeterminada un sandbox nativo de Windows; ejecuta /setup-default-sandbox si no está configurado.
¿Por qué se ignora el .codex/config.toml de mi proyecto?
Codex solo carga la configuración del proyecto en proyectos de confianza.
Fuentes
Cada ajuste y comportamiento de esta página se comprobó con estas páginas el 26 de octubre de 2026. Los agentes cambian rápido; si algo ya no coincide, manda la página oficial.
- OpenAI: aprobaciones y seguridad del agente Codex
- OpenAI: modos de permisos de Codex
- OpenAI: conceptos básicos de configuración de Codex
- OpenAI: configuración de ejemplo de Codex
- OpenAI: reglas de Codex
- OpenAI: sandbox de Codex para Windows
- OpenAI: referencia de Codex CLI
- OpenAI: comandos de barra de Codex
- Código fuente de openai/codex (solicitud de aprobación, errores de configuración)
- Issue #10187: Codex pide repetidamente aprobación para los comandos
- Issue #5131: Siempre hay que aprobar las ediciones de archivos
- Issue #29406: La solicitud de aprobación persiste pese a don’t ask again