OpenAI Codex 深入架构解读:Cloud Agent + CLI + 多级沙箱全拆解

2025 年 5 月，OpenAI 正式发布全新 Codex 平台——一个能像人类工程师一样自主读取代码库、编写修改、运行测试并生成 PR 的 AI 编程代理。本文深入拆解其 Cloud + CLI 双形态架构、codex-1 模型内核、多平台沙箱安全体系以及与 Claude Code、Cursor 等工具的核心差异。

Codex 是什么：不是 2021 年的代码补全

2025 年的 OpenAI Codex 与 2021 年的同名产品完全不同。它不再是一个单纯的代码补全 API，而是一套完整的 AI 软件工程平台——能够理解整个代码库、独立完成多步骤编码任务、并通过沙箱环境安全地执行命令。

其核心定位是：异步、并行、自主的编程代理（Coding Agent）。你可以像给实习工程师分配 Ticket 一样给 Codex 分配任务，它会自动 clone 仓库、分析代码、写代码、跑测试，最终产出一个可供 Review 的 PR。

Cloud+CLI

双形态架构

codex-1

专用编程模型

Apache 2.0

CLI 完全开源

整体架构全景

Codex 的产品形态分为三层：前端交互层（Web/CLI/IDE）、模型推理层（codex-1 + o4-mini）、以及执行隔离层（多平台沙箱）。三者通过 OpenAI 的 Responses API 串联。

Codex 整体架构：前端形态 → Responses API → codex-1 模型 → 多平台沙箱

☁️

Codex Web

chatgpt.com/codex 入口，异步任务队列，支持并行分配多个任务，自动生成 PR

⌨️

Codex CLI

Rust 核心引擎 codex-rs，终端 TUI 界面，本地沙箱执行，Apache 2.0 开源

codex-1 模型：为编程而生的推理引擎

codex-1 是 OpenAI 基于 o3 模型通过强化学习微调而来的专用编程模型。它具备链式推理能力，能在执行过程中阅读文件、修改代码、运行测试，并根据测试反馈迭代修正。

强化学习训练策略

Environment Interaction RL

codex-1 在训练时不仅阅读代码，还执行代码。通过“写代码→运行→获取反馈→修正”的循环，模型学会了利用环境交互来验证自己的产出——这是传统代码生成模型所不具备的能力。

双模型策略

codex-1 + o4-mini

复杂任务使用 codex-1 的完整推理能力，简单修改和快速查询则可切换到 o4-mini，在质量和延迟之间取得平衡。Cloud 模式下默认使用 codex-1。

Benchmark	codex-1	o3 (基线)
SWE-bench Verified	75.2%	71.7%
内部代码编辑 (OpenAI)	显著优于 o3	基线
工具调用遵循指令	精确严格	有时偏离

沙箱安全模型

安全性是 Codex 的核心设计原则。无论是 Cloud 还是 CLI，每次任务执行都在隔离沙箱中进行。即使模型生成了恶意代码或误操作，也无法影响宿主系统。

四平台沙箱机制 + 三级权限策略

🍎

macOS Seatbelt

sandbox-exec + 自定义 .sb Profile，.git 目录强制只读

🐧

Linux bubblewrap

User Namespaces 隔离，Landlock 后备方案，支持 WSL2

🪟

Windows Restricted

Restricted Token + Split Filesystem，系统目录自动保护

☁️

Cloud Sandbox

独立容器完整 clone 代码库，网络隔离可选，任务结束即销毁

三级权限策略

read-only（只读模式）

仅能读取代码和文件系统，无法修改任何内容。适合代码审查和问答场景。

workspace-write（工作区写入）

可修改项目目录中的文件，但 .git 保持只读，防止代理篡改版本历史。推荐的默认模式。

danger-full-access（完全访问）

无沙箱限制，仅限受信环境使用。适合需要安装全局依赖或操作系统配置的场景。

INSIGHT

Codex 的 .git 只读策略是一个精妙设计——允许代理自由修改代码，但通过保护版本历史确保人类始终拥有回滚能力。这体现了“信任但验证”的安全哲学。

Codex CLI：开源的本地编程代理

Codex CLI 是 OpenAI 开源的本地端编程代理。核心引擎 codex-rs 使用 Rust 编写，提供终端 TUI 界面，支持在本地沙箱中安全执行编程任务。

bash

# 安装 Codex CLI npm install -g @openai/codex# 基本使用 codex "给所有 API 路由添加输入验证"# 指定模型和安全策略 codex --model o4-mini --approval-mode workspace-write "修复 #42 issue"

CLI 同样支持 MCP（Model Context Protocol）协议，可接入外部工具和数据源。通过 codex.json 或 AGENTS.md 文件配置项目级指令，让代理了解仓库的构建方式、测试命令等项目特定知识。

Cloud Agent 工作流

Codex Web（chatgpt.com/codex）是面向团队的云端 Agent 平台。接入 GitHub 仓库后，每次任务执行都会：

Clone + 环境初始化

在独立容器中 clone 完整仓库，安装依赖，准备执行环境

代码分析 + 实现

读取相关文件、理解架构、编写代码修改、运行 lint 和测试

生成 PR + 可审计日志

自动创建 Pull Request，附带完整操作日志和执行引用（Citations）

TAKEAWAY

Cloud 模式的核心优势是并行性——你可以同时分配多个独立任务，它们在各自隔离的容器中并行执行，互不干扰。

竞品对比：Codex vs Claude Code vs Cursor vs Devin

AI 编程工具市场正在快速分化。Codex 的独特定位在于同时提供云端异步 Agent 和本地开源 CLI，覆盖从简单修改到复杂重构的完整场景。

AI 编程工具对比矩阵

维度	Codex	Claude Code	Cursor	Devin
产品形态	Cloud+CLI+IDE	CLI 终端	IDE	Web Agent
自主等级	高	高	中	高
并行任务	✓	—	—	✓
沙箱隔离	多级沙箱	目录隔离	—	VM 隔离
开源	CLI 开源	—	—	—

MCP 协议与工具扩展

Codex CLI 原生支持 Model Context Protocol (MCP)，可接入任意外部工具——数据库查询、API 调用、文档搜索等。通过在 codex.json 中配置 MCP Server，代理的能力边界可无限扩展。

AGENTS.md

放在仓库根目录的项目指令文件。告诉 Codex 如何构建、测试以及项目的代码规范。类似 Claude Code 的 CLAUDE.md。

codex.json

CLI 配置文件，定义 MCP Server 列表、默认沙箱策略、环境变量传递规则。支持项目级和全局级配置。

技术演进与未来方向

2021 年 8 月

Codex API (初代)

基于 GPT-3 的代码补全模型，纯 API 形态，2023 年已退役

2025 年 5 月 16 日

Codex 平台发布

全新 Cloud Agent + CLI 开源，codex-1 模型，ChatGPT Pro/Team/Enterprise 可用

2025 年 5 月 28 日

CLI v0.135.0

快速迭代，增加 Windows 沙箱、MCP 支持、桌面应用、IDE 扩展等

未来展望

多代理协作 & 持续运行

后台持续监控代码库、主动发现问题、多 Agent 协作完成大型重构

从 Codex 的发展路线可以看出几个明确的方向：

从补全到代理

AI 编程正在从“辅助补全”升级为“自主执行”。Codex 可独立完成包含理解、编写、测试、提交的完整工程循环。

安全即基础设施

多平台沙箱不是可选功能，而是运行时基础。未来的 AI 代理都需要在受控环境中执行，沙箱技术将成为标配。

开源 + 生态

CLI 的 Apache 2.0 开源策略吸引社区贡献，MCP 协议打通工具生态，形成“开源引擎 + 云端服务”的商业模式。