Codex im YOLO-Modus: Dateizugriff begrenzen
codex --yolo schaltet alle Rückfragen ab: Codex liest, schreibt und führt aus, ohne zu fragen. Das ist der schnellste Workflow — und der offenste: Der Agent läuft mit deinen vollen Nutzerrechten, inklusive ~/.ssh, Schlüsselbund und allen Dokumenten. Zwischen „alles erlauben" und „alles bestätigen" liegt die Seatbelt-Sandbox: Grenzen einmal vor dem Start festlegen, dann frei arbeiten lassen.
Setup: Terminal-Launcher mit Codex-Freigaben
Codex CLI läuft im Terminal — also sandboxt ScopeShelf die Terminal-Sitzung. Getestet mit Codex CLI 0.153.4 (Homebrew-Installation) auf macOS 26:
- ScopeShelf installieren und einmal starten.
- Launcher für dein Terminal anlegen (iTerm-Preset vorhanden, oder Terminal.app).
- Freigaben hinzufügen:
# Schreibbar: ~/dein-projektordner # der Code, an dem Codex arbeitet ~/.codex # Codex-Config, Auth, Session-Daten # Einzelne Datei (optional): ~/.gitconfig # git-Identität für Commits
Homebrew-Tools brauchen keine Zusatzfreigabe: /opt/homebrew liegt außerhalb deines Benutzerordners und ist per allow default erreichbar — darum startet das dort installierte codex-Binary ohne weitere Regel. Netzwerk auf „Erlaubt" lassen (API-Zugriff).
- Terminal über ScopeShelf starten und darin arbeiten:
codex --yolo— mit Sandbox-Grenzen statt ohne jedes Netz.
Per CLI
scopeshelf add "Terminal Codex" --app /Applications/iTerm.app \ --write ~/repos/mein-projekt --write ~/.codex scopeshelf dry terminal-codex # Profil ansehen scopeshelf run terminal-codex # starten
Der Schutztest (verifiziert)
codex --version # läuft normal im Profil cat ~/.ssh/config # Operation not permitted — unsichtbar für die Sitzung
Alles andere im Benutzerordner ist weg — kernel-erzwungen, nicht konventionsbasiert. Blockierte Zugriffe landen sichtbar im ScopeShelf-Protokoll (Operation, Pfad, Häufigkeit).
Die ehrlichen Grenzen
- Im Projektordner darf Codex löschen und ändern — das ist Absicht. git schützt dich dort; die Sandbox schützt alles andere.
- Netzwerk bleibt offen (die API braucht es). Der Netzwerk-Schalter ist alles-oder-nichts pro Launcher.
- Systemdienste außerhalb von $HOME bleiben erlaubt — das Profil sperrt gezielt den Benutzerordner statt alles, damit nichts bricht. Dokumentierte Design-Entscheidung.
- Prompt-Injection im erlaubten Bereich ist weiterhin dein Risiko — die Sandbox begrenzt Zugriffe, nicht Absichten.
Fazit
--yolo muss nicht heißen, dass Codex dein ganzes Leben lesen kann. Ein Launcher fürs Terminal, drei Freigaben, und der YOLO-Modus läuft innerhalb sichtbarer, wiederverwendbarer Grenzen — dieselbe Einrichtung funktioniert übrigens auch für Claude Code und andere KI-Tools im selben Terminal.
ScopeShelf: 19 € einmalig, 7 Tage kostenlos testen, kein Account. Zum Download · Weiterlesen: Claude Code ohne ständige Freigaben nutzen