Revisión automática

La revisión automática envía las solicitudes de aprobación que cumplen los requisitos a un agente revisor independiente. El sandbox, las reglas de comandos y la configuración de las herramientas determinan qué acciones requieren aprobación. El revisor decide si esas acciones pueden ejecutarse.

En la app de escritorio de ChatGPT, al seleccionar un modelo Daybreak aprobado, el control de permisos cambia automáticamente a Aprobar por mí si ese modo está disponible para tu cuenta y la política de tu organización lo permite. Esto también se aplica si usas el comando /model de la app de escritorio. Si el modo no está disponible, se mantiene el modo de permisos actual. La selección del modelo nunca anula los requisitos administrados por la organización.

Antes de habilitar Acceso completo para un modelo de seguridad aprobado, la app de escritorio de ChatGPT muestra una advertencia específica para ese modelo sobre las acciones peligrosas. La advertencia recomienda usar Aprobar por mí como alternativa e incluye un enlace a la configuración de la política del revisor. La advertencia no restablece los límites del sandbox ni anula la política de la organización.

Seleccionar la revisión automática

En la app de escritorio, elige Aprobar por mí en el control de permisos debajo del editor. Comprueba que esa opción esté seleccionada para el chat actual. Consulta Permisos para saber cómo seleccionar un modo y solucionar problemas.

Para la CLI o una configuración local de Codex, establece approvals_reviewer = "auto_review" junto con una política de aprobación interactiva compatible, como approval_policy = "on-request". Cambiar solo la política de aprobación no selecciona al revisor. Los administradores pueden exigir la revisión automática en su organización.

Cómo funciona la revisión automática

1. El agente principal propone una acción, como ejecutar un comando.
2. Si la acción requiere aprobación, Codex crea una solicitud.
3. Si approvals_reviewer = "auto_review", Codex envía la solicitud de aprobación a un agente revisor independiente en lugar de detenerse a esperar que una persona la revise.
4. El revisor decide si la acción debe ejecutarse y explica su decisión.
5. Si se aprueba la acción, la ejecución continúa. Si se rechaza, el agente principal recibe instrucciones de buscar una alternativa considerablemente más segura o detenerse y consultar al usuario.

Cuándo se activa

La revisión automática evalúa las solicitudes de aprobación que, de otro modo, obligarían a esperar la intervención de una persona. Entre ellas se incluyen las que generan estas acciones:

• Llamadas a herramientas de shell o de ejecución que solicitan permisos adicionales para cruzar los límites del sandbox.
• Comandos que coinciden con una regla de comandos con decision = "prompt", incluso si se ejecutan dentro del sandbox.
• Solicitudes de red a destinos que requieren aprobación. Si una regla de red deniega explícitamente la solicitud, esta se bloquea.
• Ediciones de archivos fuera de los directorios raíz donde se permite escribir.
• Llamadas a herramientas de MCP o de apps que requieren aprobación según las anotaciones de la herramienta o el modo de aprobación configurado.

Las acciones que ya tienen permiso se ejecutan sin revisión.

Las solicitudes de acceso a las apps que genera la función Uso de la computadora se muestran directamente al usuario. Por separado, las llamadas a herramientas de Uso de la computadora que cumplen los requisitos pueden activar la revisión automática.

Qué bloquea la revisión automática

En términos generales, la revisión automática está diseñada para bloquear acciones como las siguientes:

• enviar datos privados, secretos o credenciales a destinos que no sean de confianza
• buscar credenciales, tokens, cookies o datos de sesión
• debilitar la seguridad de forma generalizada o persistente
• realizar acciones destructivas con un riesgo considerable de daños irreversibles

Consulta Configuración para conocer las reglas predeterminadas y saber cómo personalizarlas.

Qué ve el revisor

El revisor evalúa la acción específica que generó la solicitud de aprobación.

El revisor recibe una transcripción resumida y la solicitud de aprobación exacta. Por lo general, esto incluye los mensajes del usuario, las actualizaciones que mostró el asistente, las llamadas a herramientas relevantes y sus resultados, y la acción que se propone aprobar en ese momento. También puede realizar comprobaciones de solo lectura, como inspeccionar un directorio antes de aprobar su eliminación.

El razonamiento oculto del asistente queda excluido. La revisión automática tiene acceso a los elementos del chat que se conservaron y a la evidencia que aportan las herramientas, pero no a la cadena de pensamiento privada.

Rechazos y comportamiento ante fallos

Codex trata un rechazo explícito de manera distinta a un error habitual del sandbox. Devuelve al agente principal la justificación del revisor y añade instrucciones más estrictas:

• No intentes obtener el mismo resultado por otra vía, mediante ejecución indirecta ni eludiendo la política.
• Continúa únicamente con una alternativa considerablemente más segura.
• De lo contrario, detente y consulta al usuario.

Para la mayoría de los modelos, la CLI de Codex interrumpe el turno después de 3 rechazos consecutivos o de 10 rechazos en las últimas 50 revisiones de ese turno. Para los modelos designados para ciberseguridad, la CLI interrumpe el turno al primer rechazo.

Cualquier resultado distinto de un rechazo reinicia el contador de rechazos consecutivos. Cuando se alcanza un límite de rechazos, Codex muestra una advertencia y detiene el turno.

Los tiempos de espera agotados se notifican por separado de los rechazos explícitos. Se informa al agente principal de que, por sí solo, el vencimiento del tiempo de espera no demuestra que la acción sea insegura.

Codex también permite autorizar explícitamente un nuevo intento de una acción rechazada. En la interfaz de terminal de código abierto actual, ejecuta /approve para abrir el selector Rechazos de la revisión automática. Luego, selecciona una acción rechazada recientemente y apruébala para un solo reintento. Codex registra hasta 10 rechazos recientes por tarea. La aprobación tiene un alcance limitado: se aplica a la acción exacta que se rechazó, excluye acciones similares posteriores y queda registrada para un solo reintento en el mismo contexto. El reintento vuelve a pasar por la revisión automática. Internamente, Codex inserta un marcador de aprobación a nivel de desarrollador para esa acción exacta. El revisor toma en cuenta la autorización explícita del usuario, pero sigue aplicando la política y puede volver a rechazar la acción si la política impide que el usuario anule ese tipo de rechazo.

Configuración

La plantilla del revisor indica al revisor cómo evaluar una acción. Codex inserta la política de seguridad en esa plantilla y especifica por separado el formato de respuesta. La CLI usa la política predeterminada del modelo revisor cuando está disponible. De lo contrario, usa la política incluida con Codex (policy.md).

Para reemplazar la política, copia la política completa que quieras adaptar. Si usas la política predeterminada incluida con Codex, copia todo el contenido de policy.md. Edita las reglas que quieras cambiar y luego coloca el texto completo en la opción local [auto_review].policy o en la opción administrada guardian_policy_config. Las reglas que omitas quedarán fuera de la nueva política. Codex sigue usando la plantilla y el formato de respuesta del revisor.

La opción administrada guardian_policy_config tiene prioridad sobre la opción local [auto_review].policy. Codex ignora los valores de política que estén en blanco.

Para configurar la revisión en toda la organización, consulta Configurar la política de revisión automática.

Configurar una intervención de ciberseguridad autorizada

Para realizar trabajos de seguridad autorizados, combina la revisión automática con una definición escrita del alcance de la intervención y un perfil de permisos que aplique el principio de privilegio mínimo. Usa un objetivo de laboratorio aprobado y documenta las acciones y el período de la intervención. Excluye del alcance los sistemas de producción, los hosts ajenos a la intervención, las credenciales y los cambios persistentes, salvo que cuentes con autorización explícita para incluirlos.

Este ejemplo de un archivo local config.toml habilita la revisión automática y selecciona el perfil de permisos del espacio de trabajo.

approval_policy = "on-request"
approvals_reviewer = "auto_review"
default_permissions = ":workspace"

Aplica las restricciones sobre los objetivos mediante reglas independientes del sistema de archivos y de la red. El siguiente ejemplo de un archivo administrado requirements.toml exige la revisión automática y restringe los perfiles de permisos disponibles.

allowed_approval_policies = ["on-request"]
allowed_approvals_reviewers = ["auto_review"]
allowed_sandbox_modes = ["read-only", "workspace-write"]
default_permissions = ":workspace"

[allowed_permission_profiles]
":read-only" = true
":workspace" = true
# ":danger-full-access" is omitted, so it is denied.

allowed_permission_profiles controla los perfiles de permisos actuales. allowed_sandbox_modes también impide el acceso completo en las implementaciones que aún usan la opción anterior sandbox_mode.

Mantén approval_policy = "on-request" u otra política de aprobación interactiva compatible y conserva límites del sandbox que se puedan hacer cumplir. Con approval_policy = "never", :danger-full-access o --yolo, es posible que no se genere la solicitud de aprobación que el revisor necesita para evaluar si una acción puede cruzar los límites del sandbox.

Que un destino de red figure en la lista de destinos permitidos no activa por sí solo la revisión. Si ciertas acciones dentro del sandbox deben pasar por el revisor, añade reglas de comandos explícitas con decision = "prompt" o configura las herramientas MCP sensibles para que requieran aprobación.

Consulta Modelos y acceso de confianza y la configuración recomendada para obtener información sobre el acceso a modelos, la preparación de la intervención y los flujos de trabajo personalizados con agentes. Para los arneses de ejecución personalizados que usan la API o el SDK de agentes, consulta Medidas de protección y revisión humana.

Reducir el volumen de revisiones sin debilitar la seguridad

La revisión automática funciona mejor cuando el sandbox ya permite tus flujos de trabajo seguros habituales. Si demasiadas acciones rutinarias necesitan revisión, ajusta primero los límites del sandbox en lugar de enseñar al revisor a aprobar una y otra vez solicitudes innecesarias de permisos adicionales.

En la práctica, los cambios de mayor impacto son los siguientes:

• Añade writable_roots de alcance limitado para los directorios temporales o los repositorios adyacentes que uses de forma intencional.
• Añade reglas de prefijos de alcance limitado. Prefiere prefijos de comandos precisos como ["cargo", "test"] o ["pnpm", "run", "lint"] a patrones amplios como ["python"] o ["curl"]. Las reglas demasiado amplias suelen eliminar los límites que la revisión automática busca proteger. Para los modelos de ciberseguridad, la CLI ignora las reglas de prefijos allow y respeta las reglas prompt y forbidden.

De forma predeterminada, las transcripciones de las sesiones de revisión automática se conservan en ~/.codex/sessions. Antes de cambiar la política o los permisos, puedes pedirle a Codex que analice la actividad registrada allí.

Limitaciones

La revisión automática mejora las condiciones predeterminadas en las que los agentes realizan tareas prolongadas, pero no ofrece una garantía de seguridad determinista.

• Solo evalúa las solicitudes de aprobación que cumplen los requisitos, incluidas las que generan las reglas explícitas de comandos o la configuración de aprobación de las herramientas.
• Puede cometer errores, sobre todo en contextos adversarios o poco habituales.
• Debe complementar el buen diseño del sandbox, el monitoreo y la política específica de la organización, sin sustituirlos.

Para conocer los fundamentos de la investigación y los resultados publicados de las evaluaciones, consulta la publicación de Alignment Research sobre la revisión automática.