Codex im YOLO-Modus: Dateizugriff begrenzen
codex --yolo schaltet alle Rückfragen ab: Codex liest, schreibt und führt aus, ohne zu fragen. Das ist der schnellste Workflow — und der offenste: Der Agent läuft mit deinen vollen Nutzerrechten, inklusive ~/.ssh, Schlüsselbund und allen Dokumenten. Zwischen „alles erlauben" und „alles bestätigen" liegt die Seatbelt-Sandbox: Grenzen einmal vor dem Start festlegen, dann frei arbeiten lassen.
Setup: Terminal-Launcher mit Codex-Freigaben
Codex CLI läuft im Terminal — also sandboxt ScopeShelf die Terminal-Sitzung. Getestet mit Codex CLI 0.153.4 (Homebrew-Installation) auf macOS 26:
- ScopeShelf installieren und einmal starten.
- Launcher für dein Terminal anlegen: Neuer Launcher → in der Zeile der installierten Apps auf iTerm oder Terminal klicken.
- Freigaben hinzufügen:
# Schreibbar: ~/dein-projektordner # der Code, an dem Codex arbeitet ~/.codex # Codex-Config, Auth, Session-Daten # Einzelne Datei (optional): ~/.gitconfig # git-Identität für Commits
Homebrew-Tools brauchen keine Zusatzfreigabe: /opt/homebrew liegt außerhalb deines Benutzerordners und ist per allow default erreichbar — darum startet das dort installierte codex-Binary ohne weitere Regel. Netzwerk auf „Erlaubt" lassen (API-Zugriff).
- Sichern, dann auf „Shell starten“ klicken. ScopeShelf fragt einmal nach dem Projektordner (er wird schreibbar und gemerkt) und öffnet ein neues Terminalfenster mit einer gesandboxten Shell. Darin arbeitest du:
codex --yolo, mit Sandbox-Grenzen statt ohne jedes Netz. Details zu jeder Einstellung: Hilfeseite zum Terminal.
Per CLI
scopeshelf add "Terminal Codex" --app /Applications/iTerm.app --write ~/.codex scopeshelf dry terminal-codex # Profil ansehen scopeshelf shell terminal-codex --cd ~/repos/mein-projekt # gesandboxte Shell, Projekt schreibbar
Der Schutztest (verifiziert)
codex --version # läuft normal im Profil cat ~/.ssh/config # Operation not permitted — unsichtbar für die Sitzung
Alles andere im Benutzerordner ist weg — kernel-erzwungen, nicht konventionsbasiert. Blockierte Zugriffe landen sichtbar im ScopeShelf-Protokoll (Operation, Pfad, Häufigkeit).
Die ehrlichen Grenzen
- Im Projektordner darf Codex löschen und ändern — das ist Absicht. git schützt dich dort; die Sandbox schützt alles andere.
- Netzwerk bleibt offen (die API braucht es). Der Netzwerk-Schalter ist alles-oder-nichts pro Launcher.
- Systemdienste außerhalb von $HOME bleiben erlaubt — das Profil sperrt gezielt den Benutzerordner statt alles, damit nichts bricht. Dokumentierte Design-Entscheidung.
- Prompt-Injection im erlaubten Bereich ist weiterhin dein Risiko — die Sandbox begrenzt Zugriffe, nicht Absichten.
Fazit
--yolo muss nicht heißen, dass Codex dein ganzes Leben lesen kann. Ein Launcher fürs Terminal, drei Freigaben, und der YOLO-Modus läuft innerhalb sichtbarer, wiederverwendbarer Grenzen — dieselbe Einrichtung funktioniert übrigens auch für Claude Code und andere KI-Tools im selben Terminal.
ScopeShelf wird für macOS 27 vorbereitet. Kauf und Download pausieren. Zur Ankündigung · Weiterlesen: Claude Code ohne ständige Freigaben nutzen