Bir dev.to yazısı, kullan-at container'ların yapay zeka ajanı onay yorgunluğu için gerçek çözüm olduğunu savunuyor

Hiçbir şeyi korumayan onay prompt'u

Bir kodlama ajanı çalıştıran herkes bu ritmi bilir, yakın tarihli bir dev.to yazısına göre: ajan bir komut taslağı hazırlar, durur ve bir tıklama bekler. Öğlene kadar bir geliştirici onlarca komut onaylamış ve onları okumayı çoktan bırakmış olur. Yazıya göre o noktada güvenlik mekanizması kimseyi korumuyor — evet demeye şartlanan bir ritüele dönüşmüş durumda.

Prompt'un var olma nedeni, ajanın SSH anahtarlarınızı, cloud kimlik bilgilerinizi ve aylardır commit'lenmemiş çalışmanızı barındıran makinede gerçek kod çalıştırmasıdır. O donanımda "bu komuta güveniyor musun?" sorusu sormaya değer. Tek tıkla yok edebileceğiniz bir container içinde ise, yazının savunduğu gibi, soru neredeyse anlamsızdır.

Codex'in yardım metni gerçekte ne diyor

Yazı, OpenAI'nin Codex'inin codex --help üzerinden sunduğu üç onay modunu tek tek inceliyor:

• --ask-for-approval never — ajan asla izin için durmaz.
• --approve-for-me — her komutu sizin yerine ikinci bir model inceler.
• --dangerously-bypass-approvals-and-sandbox — hem prompt'ları hem sandbox'ı devre dışı bırakır.

Üçüncü flag'in kendi yardım metni onu son derece tehlikeli olarak nitelendiriyor ve yalnızca aracın dışında zaten sandbox'lanmış ortamlar için tasarlandığını söylüyor. Yazının okuması şu: bu, flag'e asla dokunmama uyarısı değil, ön koşulunun ifadesi; bir laptop böyle bir ortam değildir, oysa kullan-at bir container öyledir. Aynı anahtar, hangi makinede çalıştığına bağlı olarak bambaşka bir şey ifade eder.

Neden laptop'taki yarım önlemler sürekli başarısız oluyor

Prompt'ları susturmaya çalışan geliştiriciler tekrarlayan duvarlara çarpıyor, yazıya göre; yazı bir dizi Codex GitHub issue'suna değiniyor: bypass flag'leri etkin olsa bile yine de güvenilmeyen granted klasörleri, yeniden başlatmada unutulan oturum düzeyinde onaylar, yine de prompt göstermeye devam eden Full Access modu, rutin komutlar için bile soran sandbox modu ve her çağrıda izin isteyen MCP araçları. Yazının belirttiğine göre en öne çıkan thread, aracı Windows'ta her shell komutunda bir izin prompt'u çıkması nedeniyle kullanılamaz olarak tanımlıyor; approve-replan döngülerindeki token israfına ilişkin ayrı bir issue ise 630 yorum almış durumda.

Teşhis şu: prompt'lar çalıştığında yorucu, kapatmaya çalıştığınızda bozuk — bunlar, asla bir güvenlik sınırı olarak tasarlanmamış bir makineye güvenlik kapısı cıvatalamanın öngörülebilir sonucu.

Ortadaki seçenek sizi karar başına faturalandırıyor

--approve-for-me kararları ikinci bir modele yönlendiriyor — dahili olarak "guardian" gözden geçiricisi, features çıktısında guardian_approval olarak listeleniyor — böylece yalnızca alışılmadık komutlar bir insana ulaşıyor. Yazı bunu makul bir uzlaşma olarak nitelendiriyor ama bedeli hakkında açık sözlü: atlanan her prompt, bir model çağrısı daha demek. Bakmak zorunda olmadığınız için token'la ödüyorsunuz.

İşlem sırası: önce etki alanı, sonra özgürlük

Ajan bir container içinde çalıştığında hesap tersine döner, yazının savunusu bu. Her seferinde sormak, hiçbir şeye zarar veremeyecek komutları onaylamak anlamına gelir. AI incelemesi, çoğunlukla artık ihtiyaç duymadığınız bir koruma satın alır. "Asla sorma" pervasızlıktan çıkıp yardım metninin tanımladığı senaryoya dönüşür.

Sıralama önemli: önce tek bir kötü komutun ne kadar hasar verebileceğine karar verin, sonra ne kadar özerklik tanıyacağınıza. Tersini yaparsanız geriye kalan tek seçenek ya çok gürültülü ya da çok riskli olur.

Yazının arkasındaki proje

Yazı, TaskHandoff etrafında şekilleniyor; kendi makinelerinizde AI ve Codex workspace'leri çalıştırmak için Apache-2.0 lisanslı bir control plane. Yazıya göre her oturum, tek bir konsoldan oluşturduğunuz, başlattığınız, durdurduğunuz ve sildiğiniz yönetilen bir Linux Docker container içinde yaşıyor. Sahip olduğunuz workspace'ler sunuyor; snapshot, restore ve rebuild ile; projeler arasında çalışan bir toolchain'i koruyan template'lerle; tek bir konsolun birkaç makineyi yönetmesiyle, böylece ağır işler bir Linux makinesinde çalışırken siz bir laptop'tan yön veriyorsunuz; ve WebSocket üzerinden canlı oturum görünümüyle. Masaüstü uygulaması olarak ve Debian ile Ubuntu'ya systemd servisi olarak kurulabilen bir sunucu olarak geliyor; İngilizce ve Çince arayüzleri var.

Yazının kendisinin dile getirdiği uyarı

Ajana container içinde tam erişim vermek, artık sizi güvende tutan şeyin container olduğu anlamına gelir; dolayısıyla gerçekten kullan-at olmalıdır. Yazının tavsiyesi: kimlik bilgilerinizin tek kopyasını içine asla mount etmeyin, onu bir password vault olarak görmeyin ve bir görev gerçekten host makineyi ya da yalnızca Windows'ta çalışan araçları gerektiriyorsa prompt'ları açık bırakın.

Neden önemli

Onay yorgunluğu, agentic kodlamanın az konuşulan bir başarısızlık modu: insanı döngüde tutmak için var olan kontrol, kas hafızasına dönüşüp çözülüyor. Yazının temel çerçevesi — önce etki alanını daralt, sonra özerklik tanı — yalnızca Codex'e değil, shell komutları çalıştıran her araca uygulanabilir ve korkutucu görünen bypass flag'lerini kendiliğinden güvensiz değil, ortama bağlı olarak yeniden çerçevelendirir. Container güvenlik kararını ortadan kaldırmaz; onu kararın gerçekten tutabileceği bir yere taşır.