codex-chatgpt-mcp-proxy/SEGURANCA.md

Limites de proteção

• Uma instalação pessoal com um proprietário e um worker, sem isolamento multi-tenant.
• Workspace allowlist escolhe o cwd; não é uma política de isolamento completa. Leitura e escrita efetivas dependem da sandbox real Codex e das permissões do usuário Linux. Em workspace-write, o modelo pode ler outras pastas que a sandbox permitir.
• IDs recebidos no MCP não viram caminhos. A allowlist local exige canonicalização, rejeita symlinks no caminho e é revalidada antes de iniciar cada tarefa. Symlinks dentro do workspace e mudanças concorrentes do filesystem dependem da sandbox.
• App Server stdio dedicado, on-request e reviewer user; sem bypass/danger-full-access ou aceite remoto. Requests não implementados são recusados explicitamente.
• Token worker, OAuth client secret e JWT têm funções distintas. BRIDGE_* não entra no ambiente Codex. Isso não promete ocultar arquivos privados que o usuário local pode ler; para fronteira mais rígida, usar conta/sandbox separadas e validar o Codex.
• Resultados do LLM podem conter segredos inadvertidamente. Não há filtragem perfeita; limite instruções e pastas autorizadas, inspecione outputs e não trabalhe com segredos em workspaces de demonstração. A cloud armazena instruções/resultados, conforme retenção.
• Logs HTTP não incluem headers, corpo, query ou endereço do cliente. Eventos cloud contêm tipos/IDs/status; comandos de aprovação ficam apenas no journal local.
• Guard impõe Host/Origin, corpo, frequência e schemas. TLS termina no proxy autorizado. A aplicação não confia em headers encaminhados. Proteja também acesso e logs do proxy.
• SQLite não é criptografado. Proteja volumes, backup, host e journal com permissões e, se necessário, criptografia de disco. Não disponibilize dumps publicamente.
• Rate limit por principal é adequado para um proprietário, não uma defesa completa contra DDoS. O proxy deve limitar tempo/conexões e tráfego conforme seu ambiente.
• Uma task instruction é a tarefa delegada pelo proprietário. Arquivos, resultados e conteúdo de ferramentas são dados não confiáveis; nunca autoridades para ampliar allowlist, políticas, credentials ou configuração de produção.
• Dependências e imagens fixadas precisam de revisão/atualização deliberada de segurança; fixar versões não promete ausência de vulnerabilidades.