הסוכן Codex ב-Windows: כך סוכן הקוד מקבל יותר הגנה ופחות חיכוך
חברת OpenAI חשפה כיצד בנתה מנגנון Sandbox חדש ל-Codex על Windows, שמאפשר לסוכן הקוד להריץ פקודות מקומיות בצורה בטוחה יותר, להגביל כתיבה לקבצים ולחסום גישה לרשת במצב ברירת מחדל.
OpenAI: סוכן הקוד Codex מקבל שכבת אבטחה משמעותית יותר ב-Windows, כפי שנחשף בפרסום של OpenAI מחודש מאי 2026. במאמר הנדסי שפרסם David Wiesen, חבר בצוות הטכני של החברה, מתארת OpenAI כיצד נבנה מנגנון Sandbox ייעודי שמטרתו לאפשר לסוכני קוד לעבוד ישירות על מחשבי מפתחים מבלי לחשוף את סביבת העבודה לסיכונים מיותרים.
למה Codex היה צריך Sandbox חדש ב-Windows
רוצה להישאר מעודכן ב-AI?
הירשם לדיוור השבועי שלנו וקבל עדכונים, המלצות על כלים, חדשות ודוחות מיוחדים
Codex הוא סוכן קוד של OpenAI שפועל דרך CLI, הרחבות IDE ואפליקציית דסקטופ. בפועל, הוא מתווך בין המשתמש לבין מודל בענן, ומסוגל להריץ פקודות מקומיות כמו בדיקות, עריכת קבצים, קריאת קוד, יצירת ענפי Git או הפעלת כלי בנייה. הבעיה היא שסוכן כזה רץ כברירת מחדל בהרשאות של המשתמש האמיתי, ולכן מסוגל לבצע כמעט כל פעולה שהמשתמש עצמו יכול לבצע.
ב-macOS ובלינוקס קיימים מנגנוני בידוד מוכנים יחסית, כמו Seatbelt, seccomp או bubblewrap. ב-Windows, לפי OpenAI, לא היה מנגנון מובנה שהתאים במדויק לצורך של סוכן קוד אוטונומי: כזה שצריך לקרוא קבצים רבים, לכתוב רק באזור העבודה, ולפעול ללא גישה חופשית לאינטרנט, אלא אם המשתמש אישר זאת.
הפתרונות הקיימים לא הספיקו
OpenAI בחנה כמה יכולות אבטחה של Windows, בהן AppContainer, Windows Sandbox ו-Mandatory Integrity Control. AppContainer מספק בידוד חזק, אך מתאים יותר לאפליקציות שמגדירות מראש את כל הגישה הדרושה להן, ולא לסביבות פיתוח פתוחות הכוללות Git, Python, מנהלי חבילות וכלים שונים. Windows Sandbox אמנם מציע מכונה וירטואלית קלה ומבודדת, אך הוא מנתק את הסוכן מסביבת העבודה האמיתית של המשתמש, וגם אינו זמין בכל גרסאות Windows, למשל Windows Home.
גם מנגנון Integrity Levels נראה בתחילה מבטיח, משום שהוא מאפשר להריץ תהליכים ברמת אמון נמוכה יותר. אולם שינוי תוויות האמון על תיקיות עבודה אמיתיות משנה את מודל האמון של מערכת הקבצים כולה, ועלול לאפשר גם לתהליכים אחרים בעלי רמת אמון נמוכה לכתוב למקומות רגישים. לכן OpenAI החליטה לבנות פתרון ייעודי.
מה השתנה בארגז החול החדש
האב טיפוס הראשון של OpenAI ניסה לפעול ללא הרשאות מנהל. הוא השתמש ב-SID, מזהה אבטחה של Windows, ובאסימוני תהליך מוגבלי כתיבה כדי לאפשר כתיבה רק בתיקיית העבודה ובשורשים שהוגדרו מראש. מבחינת קבצים, זה היה פתרון מדויק למדי: Codex יכול היה לכתוב בקוד של הפרויקט, אך לא במקומות כמו תיקיות .git או .codex.
החולשה המרכזית הייתה הרשת. ללא הרשאות מנהל, OpenAI לא יכלה להסתמך באופן מלא על Windows Firewall. במקום זאת נוסו עקיפות סביבתיות, כמו הפניית משתני Proxy לכתובת מקומית חסומה וחסימת Git over SSH. אבל הגנה כזו תלויה בכך שכלים יכבדו את משתני הסביבה, ואינה מונעת מתוכנה לפתוח Socket ישירות. עבור סוכן קוד שיכול להריץ קבצים לא צפויים, זה לא הספיק.
בגרסה הנוכחית, המכונה במאמר "elevated sandbox", OpenAI בחרה לבצע שלב התקנה עם הרשאות מנהל. בשלב הזה נוצרים משתמשי Windows מקומיים ייעודיים: CodexSandboxOffline, שעליו חלות חסימות Firewall ליציאה לאינטרנט, ו-CodexSandboxOnline, שאינו חסום באותו אופן. כך ניתן להחיל כללי חומת אש ברמת משתמש נפרד, ולא רק על התהליך הראשי של Codex.
אבטחה מעשית לסוכני AI
הארכיטקטורה הסופית כוללת כמה רכיבים: codex.exe כתהליך הראשי, כלי התקנה ייעודי בשם codex-windows-sandbox-setup.exe, רכיב הרצת פקודות בשם codex-command-runner.exe, ולבסוף התהליך שהסוכן מפעיל בפועל. ההפרדה הזו נועדה להתמודד עם מגבלות Windows סביב יצירת Tokens, מעבר בין משתמשים והרצת תהליכים מוגבלים.
מבחינת קהילת המפתחים, זהו צעד חשוב משום שהוא מתייחס לבעיה שהופכת מרכזית בעידן סוכני AI: לא מספיק שהמודל יהיה חכם, צריך שגם סביבת ההרצה שלו תהיה מוגבלת, צפויה וניתנת לאכיפה. Codex צריך להיות שימושי מספיק כדי לבצע עבודה אמיתית, אך לא חופשי מדי עד כדי סיכון קוד המקור, סודות מקומיים או חיבורי רשת.
OpenAI מדגישה כי האתגר אינו אבטחת אפליקציה קלאסית, אלא אבטחת סוכן שמריץ שרשרת פקודות דינמית בסביבת פיתוח חיה. הפתרון ל-Windows אינו פשוט, אך לפי החברה כל שכבת מורכבות נוספה כדי לאזן בין בטיחות, תאימות לכלי פיתוח וחוויית שימוש שלא מכריחה את המפתח לאשר כל פעולה קטנה.