Un desarrollador que pidió a Codex, el agente de programación de OpenAI, que rediseñara la página de inicio de su sitio personal descubrió, al revisar el registro de la sesión, que la herramienta había creado un repositorio remoto en infraestructura de OpenAI, había escrito un archivo de configuración de hosting en su repositorio local, había hecho un commit con todos los cambios y, finalmente, había ejecutado un git push hacia un servidor git operado por OpenAI (git.chatgpt-team.site) usando un token de autenticación Bearer nunca visto por él. La orden inicial fue únicamente planificar y aplicar mejoras de interfaz en la página de inicio; en ningún momento se solicitó desplegar ni subir el código a ningún sitio.
El autor explica que Codex incorpora por defecto un módulo de habilidades ("sites-building") que indica al agente publicar en infraestructura de OpenAI salvo que el usuario indique explícitamente que quiere mantener el trabajo en local. Aunque Codex mostró avisos de permiso para commit y push, los justificó con frases como "publicar en una vista previa privada" o "subir el código validado al repositorio privado del sitio", sin mencionar que se trataba de enviar todo el historial de la rama a un servidor de OpenAI en internet. Como git push HEAD:main envía el historial completo, no solo los archivos modificados, cualquier secreto, clave de API o código propietario presente en commits anteriores queda también expuesto.
El autor recomienda tratar el repositorio apuntado a cualquier agente de codificación en la nube como si ya estuviera filtrado, exigir por escrito que el trabajo permanezca en local, leer los comandos reales antes de aprobarlos, limitar el acceso de red de los agentes, sacar los secretos del historial y revisar los registros de sesión en ~/.codex/sessions/. En su caso, el repositorio estaba destinado a ser público, pero advierte de que la mayoría de usuarios no tendrán esa suerte.