OpenAI deelt blauwdruk voor veilige coding agents: zo hou je Codex binnen de lijnen

Coding agents die zelf repositories kunnen reviewen, commando’s draaien en met je tooling praten, zijn productiviteitsboosters — maar ook een nieuw security-risico. In een nieuwe uitleg over “Running Codex safely” beschrijft OpenAI hoe het intern Codex afbakent met sandboxing, approvals en agent-native logs. Dat sluit opvallend goed aan bij bekende risicokaders zoals de OWASP LLM Top 10 (denk aan prompt injection en “excessive agency”).

Wat OpenAI concreet doet: sandbox + approvals als standaard

OpenAI zegt Codex productief te willen maken binnen duidelijke technische grenzen: laag-risico acties moeten soepel gaan, maar hogere risico’s moeten expliciet stoppen voor review. In de praktijk combineert het bedrijf een sandbox (wat mag er geschreven worden, heeft de agent netwerktoegang, welke paden zijn beschermd) met een approval policy die bepaalt wanneer menselijke toestemming nodig is. OpenAI beschrijft bovendien een Auto-review mode die bepaalde, laag-risico requests automatisch kan laten goedkeuren om de flow erin te houden (bron: OpenAI over Running Codex safely).

Voor teams die al met agents experimenteren is dit herkenbaar: het echte gevaar zit meestal niet in “de agent kan code schrijven”, maar in de stap erna — het draaien van scripts, het benaderen van externe systemen of het aanpassen van infrastructuur.

Netwerktoegang en credentials: geen open internet, wel beheer

Een belangrijk detail: OpenAI schrijft dat het Codex niet met open-ended outbound access draait. Er is een managed network policy met expected destinations, blokken voor ongewenste bestemmingen en approvals voor onbekende domeinen. Daarnaast worden CLI/MCP OAuth-credentials in een OS keyring opgeslagen en is de login gekoppeld aan de enterprise-workspace, zodat activity terug te vinden is in compliance logs.

Dat soort maatregelen passen ook bij hoe NIST AI-risico’s benadert: niet alleen “modelgedrag”, maar ook governance, monitoring en controle over de context waarin AI draait (zie de NIST AI Risk Management Framework-pagina: https://www.nist.gov/itl/ai-risk-management-framework).

Telemetry die je wél helpt: OpenTelemetry en agent-native audit trails

OpenAI benadrukt dat klassieke securitylogs vooral wat laten zien (proces gestart, bestand aangepast), maar zelden waarom. Daarom exporteert Codex agent-native events via OpenTelemetry: prompts, approval-beslissingen, tool-executions, MCP-gebruik en netwerk-allow/deny events. Dat helpt om incidenten sneller te duiden en om adoptie/beleid bij te sturen (bron: Running Codex safely).

Hier raakt het direct aan de OWASP GenAI-risico’s: LLM01 Prompt Injection en LLM08 Excessive Agency zijn precies de categorieën waarbij je zonder goede audit trails achteraf nauwelijks kunt reconstrueren waarom een agent “gek” deed (bron: OWASP LLM Top 10: https://owasp.org/www-project-top-10-for-large-language-model-applications/).

Wat betekent dit (en wat kun je morgen doen)?

De takeaway is simpel: “agents veilig inzetten” is vooral systeemontwerp. Als je Codex, Devin-achtige agents of interne code-agents uitrolt, neem dan minimaal dit mee:

Default-deny netwerk met allowlists voor bekende workflows.
Sandboxing voor write-access en een duidelijk “outside sandbox = approval required”.
Verboden of approval-only commando’s (denk aan destructive shell patterns).
Agent-native logs (liefst exporteerbaar naar je SIEM via OpenTelemetry).
Account security en verificatie als je meer permissieve cyber-workflows wilt (OpenAI koppelt dit ook aan “Trusted Access for Cyber”, waarin verified defenders minder onnodige refusals krijgen maar misbruik geblokt blijft: https://openai.com/index/gpt-5-5-with-trusted-access-for-cyber/).

Wie dit goed neerzet, krijgt het beste van twee werelden: snelheid voor developers én een audittrail waar security echt iets aan heeft.

Verder lezen op AI Feiten: