Revisão automática

A revisão automática encaminha os pedidos de aprovação elegíveis a um agente revisor separado. O sandbox, as regras de comando e as configurações das ferramentas determinam quais ações precisam de aprovação. O revisor decide se essas ações podem prosseguir.

No aplicativo do ChatGPT para desktop, quando você seleciona um modelo Daybreak aprovado, o controle de permissões muda automaticamente para Aprovar por mim se esse modo estiver disponível para sua conta e a política da organização permitir seu uso. Isso também vale ao usar o comando /model no aplicativo para desktop. Se o modo não estiver disponível, o modo de permissão atual permanece selecionado. A seleção de um modelo nunca se sobrepõe aos requisitos gerenciados pela organização.

Antes de ativar o Acesso completo para um modelo de segurança aprovado, o aplicativo do ChatGPT para desktop exibe um aviso específico do modelo sobre ações perigosas. O aviso recomenda usar Aprovar por mim e inclui um link para a configuração da política do revisor. O aviso não restabelece os limites do sandbox nem se sobrepõe à política da organização.

Como selecionar a revisão automática

No aplicativo para desktop, selecione Aprovar por mim no controle de permissões abaixo do editor. Verifique se a opção está selecionada para o chat atual. Consulte Permissões para saber como selecionar um modo e solucionar problemas.

Na CLI ou na configuração local do Codex, defina approvals_reviewer = "auto_review" e use uma política de aprovação interativa elegível, como approval_policy = "on-request". Alterar apenas a política de aprovação não seleciona o revisor. Os administradores podem exigir a revisão automática em toda a organização.

Como funciona a revisão automática

1. O agente principal propõe uma ação, como executar um comando.
2. Se a ação exigir aprovação, o Codex cria um pedido.
3. Se approvals_reviewer = "auto_review", o Codex encaminha o pedido de aprovação a um agente revisor separado, em vez de pausar a execução para aguardar uma decisão humana.
4. O revisor decide se a ação deve ser executada e apresenta uma justificativa.
5. Se o revisor aprovar a ação, a execução continua. Se ele negar o pedido, o agente principal recebe a instrução de buscar uma alternativa substancialmente mais segura ou parar e consultar o usuário.

Quando a revisão é acionada

A revisão automática avalia pedidos de aprovação que, de outra forma, pausariam a execução até que uma pessoa os avaliasse. Entre eles estão os pedidos gerados por:

• Chamadas de ferramentas de shell ou exec que solicitam elevação de permissões no sandbox.
• Comandos que correspondem a uma regra de comando com decision = "prompt", inclusive comandos executados dentro do sandbox.
• Solicitações de rede para destinos que exigem aprovação. Uma regra de rede que negue explicitamente o acesso bloqueia a solicitação.
• Edições de arquivos fora dos diretórios raiz em que a gravação é permitida.
• Chamadas de ferramentas MCP ou de aplicativos que exigem aprovação conforme as anotações da ferramenta ou o modo de aprovação configurado.

As ações que já têm permissão para execução prosseguem sem revisão.

No Uso do computador, os pedidos de acesso a aplicativos vão diretamente para o usuário. As chamadas de ferramentas elegíveis do Uso do computador podem acionar a revisão automática separadamente.

O que a revisão automática bloqueia

A revisão automática foi projetada para bloquear ações como:

• enviar dados privados, segredos ou credenciais a destinos não confiáveis
• vasculhar o ambiente em busca de credenciais, tokens, cookies ou dados de sessão
• reduzir a segurança de forma abrangente ou persistente
• executar ações destrutivas com risco significativo de danos irreversíveis

Consulte Configuração para conhecer as regras padrão e saber como personalizá-las.

O que o revisor vê

O revisor avalia a ação específica que gerou o pedido de aprovação.

O revisor recebe uma transcrição resumida e o pedido de aprovação exato. Em geral, isso inclui as mensagens do usuário, as atualizações do assistente exibidas ao usuário, as chamadas de ferramentas relevantes e seus resultados, além da ação proposta para aprovação. O revisor também pode fazer verificações somente leitura, como inspecionar um diretório antes de aprovar sua exclusão.

A transcrição não inclui o raciocínio oculto do assistente. A revisão automática tem acesso aos itens preservados do chat e às evidências fornecidas pelas ferramentas, mas não à cadeia de pensamento privada.

Como o Codex lida com recusas e falhas

O Codex trata uma recusa explícita de forma diferente de um erro comum do sandbox. Ele devolve a justificativa do revisor ao agente principal e reforça as instruções:

• Não tente obter o mesmo resultado por outros meios, por execução indireta ou contornando a política.
• Prossiga apenas com uma alternativa substancialmente mais segura.
• Caso contrário, pare e consulte o usuário.

Para a maioria dos modelos, a CLI do Codex interrompe o turno após 3 recusas consecutivas ou 10 recusas nas últimas 50 revisões do mesmo turno. Para os modelos designados para cibersegurança, a CLI interrompe o turno na primeira recusa.

Qualquer resultado de revisão que não seja uma recusa zera o contador de recusas consecutivas. Ao atingir um dos limites de recusas, o Codex exibe um aviso e interrompe o turno.

Quando o tempo de espera se esgota, o Codex informa esse resultado separadamente das recusas explícitas. Ele também avisa ao agente principal que o fim do tempo de espera, por si só, não prova que a ação é insegura.

O Codex também permite que o usuário autorize explicitamente uma nova tentativa de uma ação recusada. Na interface de terminal (TUI) de código aberto atual, execute /approve para abrir o seletor Recusas da revisão automática. Em seguida, selecione uma ação recusada recentemente para aprovar uma única nova tentativa. O Codex registra até 10 recusas recentes por tarefa. Essa aprovação vale apenas para a ação exata que foi recusada, sem abranger ações futuras semelhantes. Ela fica registrada para uma única nova tentativa no mesmo contexto, e essa tentativa também passa pela revisão automática. Internamente, o Codex insere um marcador de aprovação no escopo do desenvolvedor para aquela ação específica. O revisor leva em conta essa autorização explícita do usuário, mas continua seguindo a política e pode recusar a ação novamente se a política não permitir que o usuário reverta esse tipo de recusa.

Configuração

O template de instruções do revisor orienta o revisor sobre como avaliar uma ação. O Codex insere a política de segurança nesse template e especifica o formato da resposta separadamente. A CLI usa a política padrão do modelo revisor quando ela está disponível. Caso contrário, usa a política que acompanha a CLI (policy.md).

Para substituir a política, copie na íntegra a política que você quer adaptar. Se usar a política padrão que acompanha a CLI, copie todo o conteúdo de policy.md. Edite as regras que deseja alterar e insira o texto completo na configuração local [auto_review].policy ou na configuração gerenciada guardian_policy_config. As regras omitidas deixam de fazer parte da política. O Codex continua usando o template e o formato de resposta do revisor.

A configuração gerenciada guardian_policy_config tem precedência sobre a configuração local [auto_review].policy. O Codex ignora valores de política em branco.

Para configurar a revisão em toda a organização, consulte Como configurar a política de revisão automática.

Como configurar uma atividade autorizada de cibersegurança

Para trabalhos de segurança autorizados, combine a revisão automática com um escopo de trabalho definido por escrito e um perfil de permissões que siga o princípio do menor privilégio. Use um alvo de laboratório aprovado e documente as ações e o período de execução. Mantenha fora do escopo os sistemas de produção, os hosts sem relação com o trabalho, as credenciais e as alterações persistentes, salvo autorização explícita.

Este exemplo de config.toml local habilita a revisão automática e seleciona o perfil de permissões do espaço de trabalho.

approval_policy = "on-request"
approvals_reviewer = "auto_review"
default_permissions = ":workspace"

Aplique as restrições de acesso ao alvo com regras independentes para o sistema de arquivos e a rede. O exemplo a seguir de requirements.toml gerenciado exige a revisão automática e restringe os perfis de permissões disponíveis.

allowed_approval_policies = ["on-request"]
allowed_approvals_reviewers = ["auto_review"]
allowed_sandbox_modes = ["read-only", "workspace-write"]
default_permissions = ":workspace"

[allowed_permission_profiles]
":read-only" = true
":workspace" = true
# ":danger-full-access" is omitted, so it is denied.

allowed_permission_profiles controla os perfis de permissões atuais. allowed_sandbox_modes também impede o acesso completo em implantações que ainda usam a configuração legada sandbox_mode.

Mantenha approval_policy = "on-request" ou outra política de aprovação interativa elegível e garanta que os limites do sandbox sejam efetivamente aplicados. Com approval_policy = "never", :danger-full-access ou --yolo, uma ação pode não gerar o pedido de aprovação para ultrapassar os limites do sandbox. Sem esse pedido, a revisão automática não é acionada.

A presença de um destino de rede na lista de permissões não aciona a revisão por si só. Quando ações dentro do sandbox também precisarem passar pelo revisor, adicione regras de comando explícitas com decision = "prompt" ou configure as ferramentas MCP sensíveis para exigir aprovação.

Consulte Modelos e acesso confiável e Configuração recomendada para saber como acessar modelos, configurar o trabalho autorizado e personalizar fluxos de trabalho de agentes. Para harnesses personalizados que usam a API ou o Agents SDK, consulte Mecanismos de proteção e revisão humana.

Como reduzir o volume de revisões sem comprometer a segurança

A revisão automática funciona melhor quando o sandbox já permite seus fluxos de trabalho seguros mais frequentes. Se muitas ações rotineiras exigirem revisão, ajuste primeiro os limites do sandbox, em vez de ensinar o revisor a aprovar indefinidamente pedidos desnecessários de elevação de permissões.

Na prática, os ajustes mais eficazes são:

• Adicione entradas de escopo restrito a writable_roots para incluir diretórios de trabalho temporário ou repositórios vizinhos que você usa intencionalmente.
• Adicione regras de prefixo de escopo restrito. Prefira prefixos de comando precisos, como ["cargo", "test"] ou ["pnpm", "run", "lint"], a padrões abrangentes, como ["python"] ou ["curl"]. Regras muito amplas costumam eliminar justamente o limite que a revisão automática deve proteger. Para modelos de cibersegurança, a CLI ignora as regras de prefixo allow e respeita as regras prompt e forbidden.

Por padrão, as transcrições das sessões de revisão automática ficam em ~/.codex/sessions. Antes de alterar a política ou as permissões, você pode pedir ao Codex que analise as solicitações registradas ali.

Limites

A revisão automática melhora as condições padrão para trabalhos de longa duração com agentes de IA, mas não oferece uma garantia determinística de segurança.

• Ela avalia apenas pedidos de aprovação elegíveis, inclusive os acionados por regras explícitas de comando ou por configurações de aprovação de ferramentas.
• Ela ainda pode cometer erros, especialmente em situações adversariais ou incomuns.
• Ela deve complementar um sandbox bem projetado, o monitoramento e as políticas específicas da organização, sem substituí-los.

Para conhecer os fundamentos da pesquisa e os resultados publicados das avaliações, consulte a publicação da equipe de pesquisa em alinhamento sobre a revisão automática.