Configuración segura de Codex CLI: AGENTS.md, perfiles y permisos

Описание и применение

Руководство по безопасной настройке Codex CLI: разделение инструкций (AGENTS.md), личных настроек и профилей доступа для минимизации рисков и повышения воспроизводимости рабочих процессов.

Задача

Los desarrolladores necesitan configurar Codex CLI para automatizar tareas sin exponer el repositorio a riesgos de seguridad, evitando permisos globales excesivos y configuraciones ambiguas que mezclen instrucciones con capacidades técnicas.

Результат

Se establece un flujo de trabajo reproducible y seguro para Codex CLI, separando claramente las instrucciones de negocio de los permisos técnicos, reduciendo el riesgo de acciones no autorizadas mediante el uso de perfiles específicos y políticas de aprobación.

Рабочий процесс

• Crear un archivo AGENTS.md en la raíz del repositorio con instrucciones operativas concisas (instalación, validación, rutas sensibles, manejo de datos), manteniéndose bajo 32 KiB.
• Utilizar AGENTS.override.md en subdirectorios específicos para refinar reglas locales sin contaminar la configuración global.
• Configurar ~/.codex/config.toml con valores por defecto personales que no dependan del repositorio.
• Definir perfiles de configuración (ej. local-edit) que especifiquen sandbox_mode, approval_policy y network_access según el riesgo de la tarea.
• Ejecutar Codex con el perfil adecuado usando el flag --profile (ej. codex --profile local-edit).
• Verificar el estado activo de las instrucciones y permisos usando el comando /status antes de iniciar tareas críticas.
• Mantener approval_policy en 'on-request' para cambios de entorno, red o herramientas con efectos secundarios, evitando 'never' salvo en automatizaciones estrictamente validadas.
• Separar la configuración del runner de CI de la configuración personal del desarrollador para evitar herencia de permisos indebida.

Доказательства

La configuración que recomiendo tiene tres capas: instrucciones de repo para el comportamiento, configuración personal para preferencias de máquina y perfiles para el riesgo de cada tarea.

Источник

AGENTS.md aporta instrucciones y contexto; config.toml controla opciones del cliente como perfiles, sandbox, aprobaciones, red y servidores MCP.

Источник