Codex постоянно просит подтверждение? Политики подтверждения, песочница и «больше не спрашивать»
Codex просит подтверждение, когда команде нужно выйти за пределы песочницы. Большинство жалоб «он всё время спрашивает» вызваны слишком строгой песочницей, настройкой, которой больше нет, или ответом «больше не спрашивать», который действовал только в пределах сессии.
КОРОТКО
В актуальной версии Codex approval_policy принимает значения on-request (по умолчанию: модель спрашивает, когда ей нужно), never или таблицу granular; untrusted удалён, а on-failure теперь просто другое имя для on-request. Как часто вас спрашивают, в основном определяет песочница: с sandbox_mode = "workspace-write" Codex редактирует файлы и выполняет команды внутри проекта без запросов. Для команд, которым вы всегда доверяете, добавьте prefix_rule с decision = "allow" в ~/.codex/rules/default.rules. Туда же сохраняется ответ «больше не спрашивать для команд, начинающихся с …».
Сначала: что изменилось в Codex
Многие руководства и ответы на форумах описывают настройки, которые больше не работают. Прежде чем что-то настраивать, сверьте свой ~/.codex/config.toml с этим списком:
| Старая настройка | Сейчас |
|---|---|
approval_policy = "untrusted" | Удалена. Codex сообщает «approval_policy = "untrusted" is no longer supported; remove this setting». Вместо неё документация предлагает sandbox_mode = "read-only" вместе с on-request. |
approval_policy = "on-failure" | Всё ещё принимается, но только как псевдоним on-request. |
--full-auto | Больше нет в справочнике CLI. Ближе всего к нему флаг --approve-for-me (псевдоним --not-so-yolo), который включает автоматическую проверку подтверждений с on-request и песочницей workspace-write. |
[profiles.name] внутри config.toml | Начиная с Codex 0.134.0, --profile name читает вместо этого $CODEX_HOME/name.config.toml. Оставшийся ключ profile = "x" теперь вызывает ошибку. |
/approvals | Используйте /permissions («Set what Codex can do without asking first.») |
Документация Codex тоже переехала: старые страницы developers.openai.com/codex теперь перенаправляют на learn.chatgpt.com.
Как Codex решает, когда спрашивать
Здесь в паре работают две настройки. Песочница ограничивает то, к чему может обращаться команда: файлы вне проекта, сеть. Политика подтверждения определяет, что происходит, когда команде нужно больше, чем разрешает песочница.
| sandbox_mode | Что Codex может делать без запроса |
|---|---|
read-only (по умолчанию) | Читать файлы и выполнять команды в песочнице только для чтения |
workspace-write | Автоматически читать, редактировать и выполнять команды в рабочем каталоге |
danger-full-access | Всё, без песочницы. Не рекомендуется |
| approval_policy | Поведение |
|---|---|
on-request (по умолчанию) | Модель сама решает, когда спрашивать. Команды, разрешённые песочницей, выполняются без подтверждения |
never | Никогда не спрашивает. Всё, что завершилось ошибкой, возвращается модели, а не передаётся вам |
{ granular = { … } } | Оставляет часть категорий запросов интерактивными, а остальные автоматически отклоняет (sandbox_approval, rules, skill_approval, request_permissions, mcp_elicitations) |
Поэтому в режиме read-only каждая правка требует ответа «да». Это самая частая причина того, что «Codex спрашивает обо всём». Даже в workspace-write каталоги .git, .codex, .agents и .aws остаются доступными только для чтения, а доступ к сети выключен, пока вы его не включите.
Это пример конфигурации из документации OpenAI с пояснениями к параметрам workspace:
Новые версии также предлагают профили разрешений (default_permissions со встроенными :read-only, :workspace и :danger-full-access). Используйте либо профили, либо sandbox_mode, но не то и другое сразу.
Пресеты в CLI, расширении для IDE и приложении
Редактировать TOML не обязательно. В CLI команда /permissions открывает пресеты; в приложении и расширении для IDE под полем ввода есть переключатель разрешений. Пресеты CLI:
- Read Only: читает рабочую область; для правки файлов или доступа в интернет нужно подтверждение.
- Default: редактирует внутри рабочей области; для доступа в интернет или правки других файлов нужно подтверждение.
- Full Access: редактирует за пределами рабочей области и пользуется интернетом без запросов.
В приложении и расширении для IDE тот же выбор называется Ask for approval, Approve for me и Full access. На старых скриншотах IDE они называются Chat, Agent и Agent (Full Access).
Разрешение отдельных команд с помощью правил
Если нужно, чтобы Codex выполнял одну команду вне песочницы без запроса (например, gh pr view), напишите правило. Правила экспериментальные и хранятся в файле .rules в папке rules/ рядом со слоем конфигурации, например ~/.codex/rules/default.rules:
allow: выполнять вне песочницы без запроса.prompt: спрашивать перед каждой подходящей командой.forbidden: блокировать без запроса.
Если совпадает несколько правил, побеждает самое строгое: forbidden важнее prompt, который, в свою очередь, важнее allow. Прежде чем полагаться на правило, проверьте команду через codex execpolicy check.
Что на самом деле сохраняет «больше не спрашивать»
Запрос подтверждения в Codex CLI предлагает разные варианты «да», и действуют они очень разное время:
| Вариант | Сколько действует |
|---|---|
| Yes, proceed | Только эта команда |
Yes, and don’t ask again for commands that start with <prefix> | Навсегда (записывается как правило в ~/.codex/rules/default.rules) |
| Yes, and don’t ask again for this command in this session | До конца сессии |
| Yes, and don’t ask again for these files | Правки файлов в этой сессии |
Если вы всё время выбираете вариант для сессии, завтра вас спросят снова. Выберите вариант с префиксом или напишите правило сами.
Codex в Windows
Сильнее всего проблема «спрашивает обо всём» проявлялась в Windows. В issue #10187 сотрудник OpenAI объяснил причину: «Without a sandboxing mechanism, all tool calls need to be manually approved on Windows.» Теперь у Codex есть нативная песочница для Windows, и она используется по умолчанию:
mxc: рекомендуемая песочница на совместимых устройствах с Windows.elevated: предпочтительный запасной вариант, если MXC недоступна.unelevated: устаревший запасной вариант.
Выполните /setup-default-sandbox в CLI, чтобы настроить песочницу elevated (или codex sandbox setup --elevated для IT-отдела). Рекомендуется Windows 11; Windows 10 1809 и новее поддерживается без гарантий. Если вы работаете в WSL, Codex использует там свою песочницу для Linux, а WSL1 больше не поддерживается.
Конфигурация проекта загружается только в доверенных проектах
Файл .codex/config.toml внутри репозитория читается только после того, как вы отметите проект как доверенный. Если настройки проекта будто игнорируются, причина в этом. Запись о доверии в пользовательской конфигурации выглядит так:
Настройки накладываются слоями, от высшего приоритета: флаги командной строки и переопределения -c, .codex/config.toml доверенного проекта, файл --profile, ваш ~/.codex/config.toml, затем системные значения по умолчанию.
О флаге --yolo
--dangerously-bypass-approvals-and-sandbox (псевдоним --yolo) выполняет все команды без подтверждений и без песочницы. В исходном коде он описан как «EXTREMELY DANGEROUS. Intended solely for running in environments that are externally sandboxed.» Сочетание approval_policy = "never" и danger-full-access делает то же самое из файла конфигурации. Если вам нужно просто меньше запросов, workspace-write и несколько правил allow решают задачу, а песочница остаётся включённой.
Для запросов, которые остаются
Когда Codex спрашивает только о важном (сеть, файлы вне проекта, push), остаётся одна проблема: вовремя заметить вопрос. Pet Island выводит подтверждения команд и правок файлов Codex на маленький остров в верхней части экрана вместе с командой или диффом, и вы можете разрешить или запретить их, не разыскивая нужный терминал. Остров показывает, когда Codex работает и когда закончил, а вопросы Codex одним щелчком переводят вас в нужное окно. Он работает с Codex CLI и приложением Codex, а если остров закрыт, Codex как обычно спрашивает в своём окне.
Частые вопросы
Как сделать, чтобы Codex не просил подтверждение постоянно?
Используйте sandbox_mode = "workspace-write", чтобы Codex мог редактировать файлы и выполнять команды внутри проекта, оставьте approval_policy = "on-request" и добавьте записи prefix_rule с decision = "allow" в ~/.codex/rules/default.rules для команд, которым вы всегда доверяете.
Поддерживается ли ещё approval_policy = "untrusted"?
Нет. Актуальная версия Codex отклоняет её с сообщением «approval_policy = "untrusted" is no longer supported; remove this setting». Вместо неё используйте sandbox_mode = "read-only" с approval_policy = "on-request".
Что случилось с --full-auto?
Его больше нет в справочнике Codex CLI. Ближе всего к нему вариант --approve-for-me (псевдоним --not-so-yolo), который использует автоматическую проверку подтверждений с on-request и песочницей workspace-write.
Почему «больше не спрашивать» не запоминается?
«Don’t ask again for this command in this session» действует только в пределах сессии. Выберите «don’t ask again for commands that start with …», и правило сохранится в ~/.codex/rules/default.rules.
Почему в Windows Codex спрашивает чаще?
Без песочницы каждый вызов инструмента требует подтверждения. Теперь Codex по умолчанию использует нативную песочницу Windows; если она не настроена, выполните /setup-default-sandbox.
Почему мой файл проекта .codex/config.toml игнорируется?
Codex загружает конфигурацию проекта только для доверенных проектов.
Источники
Все настройки и описанное поведение на этой странице сверены с этими источниками 26 октября 2026 г.. Агенты быстро меняются; если что-то уже не совпадает, приоритет за официальной страницей.
- OpenAI: Codex agent approvals and security
- OpenAI: Codex permission modes
- OpenAI: Codex config basics
- OpenAI: Codex sample config
- OpenAI: Codex rules
- OpenAI: Codex Windows sandbox
- OpenAI: Codex CLI reference
- OpenAI: Codex slash commands
- Исходный код openai/codex (запрос подтверждения, ошибки конфигурации)
- Issue #10187: Codex repeatedly asks for command approval
- Issue #5131: Always have to approve file edits
- Issue #29406: Approval prompt persists despite don’t ask again