@thsottiaux：Codex 導入可重複使用的權限設定檔，讓使用者能針對不同任務精確控管檔案讀寫與網路存取權限。 Tibo（@thsottiaux）分享了 Codex 的最…

Codex 導入可重複使用的權限設定檔，讓使用者能針對不同任務精確控管檔案讀寫與網路存取權限。 Tibo（@thsottiaux）分享了 Codex 的最新更新，正式以「權限設定檔」（Permission profiles）取代舊有的沙盒模式。這項功能允許使用者定義可繼承的安全性規則，將 OS 層級的檔案讀寫限制（例如強制拒絕存取 */.env 檔案）與特定網域的網路存取或 Unix sockets 綁定，實現每個任務的「最小權限」原則。 核心功能與架構 權限設定檔：透過 [permissions.] 定義具名策略，可組合檔案系統規則與網路規則。 繼承機制：支援 extends 屬性，可基於內建的 :read-only 或 :workspace 設定檔進行擴充，避免從零開始配置。 精細控管： - 檔案系統：支援 read、write 與 deny 規則，並可透過 glob 模式（如 */.env）精確排除敏感檔案。 - 網路存取：可針對特定網域進行 allow 或 deny 設定，並預設阻擋區域網路與私有 IP，以防範 DNS 重綁定攻擊。 相容性：此系統與舊版 sandboxmode 不相容，企業管理員可透過 requirements.toml 中的 allowedpermission_profiles 進行強制控管，確保組織內的安全性一致。 操作指引 若要建立自訂權限設定檔，請在設定檔中定義規則並於頂層指定 default_permissions： `toml default_permissions = "project-edit" [permissions.project-edit] extends = ":workspace" [permissions.project-edit.filesystem.":workspace_roots"] "*/.env" = "deny" [permissions.project-edit.network] enabled = true [permissions.project-edit.network.domains] "api.openai.com" = "allow" ` 此更新強化了 Codex 在 macOS、Linux、WSL 及 Windows 上的執行安全性，透過平台原生的沙盒技術（如 Seatbelt、bubblewrap、Landlock 或 Windows 隔離機制）強制執行這些權限邊界，確保 AI 在執行本地指令時不會超出預期的存取範圍。詳細配置規範可參考 Codex Permissions 文件。原文：https://easyvibecoding.app/curated/2250