沙箱的黑名单是问 ripgrep 借的：Codex 0.162 补了两个洞，也埋了两个配置坑

Wed, 14 Oct 2026 07:50:00 +0800

你可能也这么干过：在一台 Linux 机器上跑 Codex，把 .env、~/.aws/credentials、一份带客户数据的目录写进沙箱的 deny 规则，然后把权限开到全自动，起身去倒杯水。心里清楚这些路径它碰不到。

规则本身没写错。执行规则的却是一条命令链，链子上有一环，要去问你机器上的配置。

10 月 8 日发布的 Codex CLI 0.162.0 补掉了两个这样的环。

沙箱不认识文件，得先问别人一遍

Linux 上的 Codex 沙箱由 bubblewrap 搭起来，文件系统策略要靠一份具体的文件名清单才能生效。这份清单怎么来？把 deny glob 一条条展开，问 ripgrep 哪些文件命中。

内部首选的做法是 rg --files --hidden --no-ignore --glob ...，机器上没有 rg 时回退到 Codex 自己实现的 globset walker。两条路都依赖同一份由外部程序给出的文件列表，沙箱的安全边界就落在它上面。

而 ripgrep 会读用户配置。

PR #51527（10 月 7 日合入）的描述写得很直白：用户的 ripgrep 配置可以压制这份用来构造 Linux 沙箱 deny 掩码的文件列表，RIPGREP_CONFIG_PATH 里的 --quiet 会让命中 deny glob 的文件不被遮蔽。

换成白话：你在沙箱里写「这个目录不许看」，Codex 转头问 rg「这个目录下有哪些文件」，rg 因为你自己的配置闭上了嘴，回来说「一个都没有」。清单空了，掩码也就空了。

修的办法是从根上断掉这种耦合，给那次调用加上 --no-config，让它无论环境变量指向哪份配置都不读。

顺带说一句 ripgrep 的脾气：它不会去任何预设目录翻配置，只有你主动把 RIPGREP_CONFIG_PATH 指过去，它才会读。