Codex CLI uruchamia demona w tle. Co sprawdzić, zanim wpuścisz agenta AI na firmowy komputer

We wrześniu 2026 OpenAI włączyło w Codex CLI domyślne uruchamianie serwera w tle. Użytkownicy szybko zauważyli, że ten proces zostaje po zamknięciu narzędzia i sam się aktualizuje. 12 października 2026 temat trafił na Hacker News i zebrał ponad 500 punktów oraz ponad 270 komentarzy.

Nie piszemy o tym, żeby straszyć jednym narzędziem. Piszemy, bo to dobry przykład czegoś szerszego: agent AI do kodowania to oprogramowanie z dostępem do plików, terminala i sieci. Agent AI w firmie to po prostu kolejny program na służbowym komputerze. Traktuj go jak każdy inny. Poniżej streszczamy, co się stało, i dajemy checklistę do odhaczenia.

Co się stało z Codex CLI

Najpierw fakty potwierdzone przez OpenAI:

• W wersji 0.157.0 (wydanie z 25.09.2026) release notes wspominają jednym zdaniem o automatycznym starcie serwera w tle dla kwalifikujących się sesji interaktywnych (release 0.157.0).
• PR #47179, scalony 22.09.2026, przeniósł ustawienie daemon_auto_start z funkcji eksperymentalnych do stabilnych i włączył je domyślnie. W tym samym PR testowana jest flaga --no-daemon.
• PR #49426, który wszedł do wersji 0.161.0, włączył domyślnie analitykę dla serwerów uruchamianych przez demona. Wyłącza się ją ustawieniem enabled = false w sekcji [analytics] pliku config.toml.
• Kolejne wydania łatają demona, m.in. 0.162.0. To proces w aktywnym rozwoju.

Teraz to, co raportują użytkownicy. To zgłoszenia, nie stanowisko OpenAI. Główne issue to #48195, z prośbą, żeby demon był opcją do włączenia, a nie ustawieniem domyślnym. Według zgłaszającego:

• samo otwarcie interaktywnej sesji codex uruchamia stały proces w tle, który działa dalej po zamknięciu wszystkich okien Codexa, aż do ręcznego zatrzymania albo restartu,
• narzędzie kopiuje cały pakiet (według zgłaszającego ok. 374 MB) do katalogu ~/.codex i uruchamia demona z tej kopii, więc wersja przestaje zależeć od menedżera pakietów,
• osobny proces aktualizujący sprawdza nowe wersje (według zgłaszającego co godzinę), pobiera je i restartuje backend,
• demon zachowuje środowisko sesji, która go uruchomiła, np. zmienne proxy, i używa go w kolejnych sesjach. Podobne zachowanie opisują niezależne zgłoszenia z Windows (#48778) i macOS (#53547).

Część komentujących reagowała ostro. My trzymamy się tego, co da się sprawdzić.

A co na to OpenAI? Na dzień 13.10.2026 w issue #48195 nie ma odpowiedzi nikogo z zespołu. Jedyna oficjalna reakcja na skutki uboczne to komentarz pracownika OpenAI w #50299, który zapowiedział poprawkę błędu z restartami demona, oraz punktowe poprawki w kolejnych wydaniach.

Dlaczego proces w tle to sprawa dla firmy, a nie tylko dla programisty

Programista może tego w ogóle nie zauważyć. Właściciel firmy powinien zobaczyć cztery pytania.

Pierwsze: widoczność. Proces, który działa po zamknięciu okna, jest poza wzrokiem użytkownika. Nikt go nie wyłączy, bo nikt nie wie, że działa.

Drugie: kontrola wersji. Jeśli narzędzie samo pobiera i podmienia swoje pliki, omija menedżera pakietów i każdą firmową decyzję o tym, która wersja jest dopuszczona. Dystrybucja NixOS wyłączyła daemon_auto_start w swojej paczce (nixpkgs #567051), co dobrze pokazuje, że to realny problem dla kogoś, kto zarządza oprogramowaniem centralnie.

Trzecie: zmienne środowiskowe. Według zgłoszeń demon może przenosić środowisko z pierwszej sesji do kolejnych. W wielu firmach w zmiennych środowiskowych leżą tokeny i klucze API. Nie ma dowodów, że cokolwiek wyciekło na zewnątrz. Ale sesja, która dostaje środowisko innej sesji, to ryzyko konfiguracyjne, o którym warto wiedzieć.

Czwarte: ciągłość pracy. Użytkownicy zgłaszają, że automatyczna aktualizacja demona przerywa trwające zadania agenta (#40969) i zrywała podłączone sesje (#50299). To już nie kwestia prywatności, tylko przerwanej roboty.

Jak sprawdzić i wyłączyć demona Codex CLI

Dwie opcje wyłączenia potwierdzają użytkownicy, a flaga pojawia się też w kodzie OpenAI:

• wpis w pliku ~/.codex/config.toml:

[features]
daemon_auto_start = false

Jeśli w config.toml masz już sekcję [features], dopisz samą linię pod jej nagłówkiem (a jeśli daemon_auto_start już tam jest, zmień tylko wartość na false). Drugi nagłówek [features] albo powtórzony klucz w tym samym pliku powoduje błąd. Jeśli takiej sekcji nie ma, dodaj cały blok na końcu pliku.

• uruchamianie narzędzia z flagą --no-daemon (np. jako alias w powłoce).

Ważne zastrzeżenie: na dzień 13.10.2026 ani klucza daemon_auto_start, ani flagi --no-daemon nie ma w oficjalnej dokumentacji konfiguracji. Działanie potwierdzają użytkownicy w issue i komentujący na Hacker News.

Analitykę wyłączysz kluczem, który w dokumentacji już jest:

[analytics]
enabled = false

Tu obowiązuje ta sama zasada: jeśli sekcja [analytics] już istnieje, ustaw w niej enabled = false (zmień istniejącą wartość albo dopisz linię pod nagłówkiem). Jeśli jej nie ma, dodaj cały blok na końcu pliku.

Jeśli demon już działa, najpierw go zatrzymaj:

codex app-server daemon stop

Według zgłoszenia z Windows (#48778) samo ustawienie daemon_auto_start = false nie wystarczy, gdy demon jest uruchomiony, bo narzędzie podłącza się do działającego procesu.

Zgłaszający w #48195 opisał też pełniejsze obejście: wyłączenie funkcji poleceniem codex features disable daemon_auto_start, zatrzymanie demona, ręczne zakończenie procesu aktualizującego (według niego daemon stop go nie zatrzymuje) i usunięcie katalogu ~/.codex/packages/app-server-daemon. To instrukcja użytkownika, nie OpenAI. Traktuj ją jako punkt wyjścia, nie jako oficjalną procedurę.

I najważniejsze: wersje się zmieniają, a demon jest wciąż poprawiany. Zanim zaktualizujesz, przeczytaj release notes.

Checklista: zanim wpuścisz agenta AI na firmowy komputer

Ta lista dotyczy każdego agenta AI do kodowania, nie tylko Codexa. Ustawienia domyślne takich narzędzi zmieniają się z wersji na wersję, dlatego zamiast twierdzeń o Twoim systemie dajemy rzeczy do sprawdzenia.

1. Procesy w tle. Zamknij narzędzie i sprawdź, czy coś zostało. Na Windows: Menedżer zadań albo w PowerShell Get-Process | Where-Object { $_.ProcessName -like "*nazwa*" }. Na macOS i Linux: ps aux | grep nazwa.
2. Autoaktualizacje. Ustal, kto decyduje o wersji: Ty, menedżer pakietów czy samo narzędzie. Sprawdź, czy da się przypiąć wersję. W Codexie dokumentacja opisuje klucz check_for_update_on_startup = false dla sytuacji, gdy aktualizacjami zarządza się centralnie.
3. Uprawnienia. Sprawdź, do jakich katalogów agent ma zapis, czy działa w sandboxie i czy ma dostęp do sieci. Zasada: agent pracuje w katalogu projektu, nie na całym dysku domowym.
4. Zmienne środowiskowe i sekrety. Przejrzyj, co jest w środowisku powłoki, z której startuje agent. Kluczy API nie trzymaj globalnie, tylko w pliku lub menedżerze sekretów przypisanym do projektu.
5. Telemetria i analityka. Przeczytaj w dokumentacji, co narzędzie wysyła i jak to wyłączyć. Wyłącz, jeśli wymaga tego polityka firmy albo umowa z klientem.
6. Miejsce na dysku. Zajrzyj co jakiś czas do katalogu konfiguracji narzędzia (dla Codexa to ~/.codex). W jednym zgłoszeniu katalog wydań demona urósł do 2,8 GB (#52067).
7. Izolacja. Ryzykowne zadania uruchamiaj na osobnym użytkowniku systemu, w maszynie wirtualnej albo w kontenerze. Więcej o tym podejściu piszemy w tekście o agentach AI w kontenerach Docker.
8. Changelog przed aktualizacją. Wyznacz osobę, która czyta release notes, zanim zespół zaktualizuje narzędzie. Zmiana opisana jednym zdaniem może zmienić sposób działania całego narzędzia.

Większość tych punktów sprawdzisz raz przy instalacji i krótko przy każdej aktualizacji.

Polityka korzystania z AI w firmie: minimum dla małej firmy

Shadow AI to sytuacja, w której pracownicy sami instalują narzędzia AI, bez wiedzy szefa czy osoby od IT. W małej firmie łatwo o to, gdy nikt nie ustalił zasad. Prosta zasada spisana na jednej stronie jest lepsza niż żadna.

Wzór minimum do skopiowania i dopasowania:

1. Dopuszczone narzędzia AI: [lista]. Inne instalujemy dopiero po zgodzie.
2. Instalację agenta AI na firmowym komputerze zatwierdza: [osoba].
3. Nie wklejamy do narzędzi AI danych klientów ani danych osobowych bez zgody [osoby].
4. Klucze API i hasła trzymamy w [miejsce], nigdy w globalnych zmiennych środowiskowych ani w kodzie.
5. O aktualizacjach narzędzi AI decyduje [osoba], po przeczytaniu release notes.
6. Telemetria i analityka: ustawienia zgodnie z [dokument / umowa z klientem].
7. Raz na kwartał przeglądamy, jakie narzędzia AI są zainstalowane i co działa w tle.

AI a RODO: jeśli agent ma dostęp do plików z danymi osobowymi, to element oceny ryzyka przetwarzania. Szczegóły skonsultuj z prawnikiem albo inspektorem ochrony danych.

Podsumowanie

Codex CLI nie jest jedynym narzędziem, które robi rzeczy w tle. Jest po prostu tym, o którym w tym tygodniu głośno. To dobry pretekst, żeby przejrzeć wszystkich agentów AI, którzy pracują na firmowych komputerach, a nie tylko jednego.

Jeśli chcesz, żeby agenci AI pracowali u Ciebie stale, ale pod kontrolą, zajrzyj do naszego tekstu o agentach AI działających non stop. A jeśli wolisz to zrobić z kimś, kto już to przerabiał: w B2B Solution pomagamy wdrożyć agentów AI w firmie bezpiecznie, od konfiguracji i izolacji po prostą politykę dla zespołu.

FAQ

Czy Codex CLI działa w tle po zamknięciu?

Od wersji 0.157.0 ustawienie daemon_auto_start jest domyślnie włączone dla kwalifikujących się sesji interaktywnych. Według zgłoszeń użytkowników uruchomiony w ten sposób proces działa dalej po zamknięciu okien Codexa, dopóki go nie zatrzymasz albo nie zrestartujesz komputera.

Jak wyłączyć demona Codex CLI?

Dodaj daemon_auto_start = false w sekcji [features] pliku ~/.codex/config.toml albo uruchamiaj narzędzie z flagą --no-daemon. Jeśli demon już działa, zatrzymaj go poleceniem codex app-server daemon stop. Żadnej z tych opcji nie ma w oficjalnej dokumentacji (stan na 13.10.2026).

Czy agent AI do kodowania jest bezpieczny w firmie?

To zależy od konfiguracji, nie od samej nazwy narzędzia. Sprawdź procesy w tle, autoaktualizacje, uprawnienia, sekrety w środowisku i telemetrię. Pełna lista jest w checkliście wyżej.

Co powinna zawierać polityka AI w małej firmie?

Listę dopuszczonych narzędzi, osobę zatwierdzającą instalacje, zasady wklejania danych klientów, miejsce przechowywania kluczy API i odpowiedzialność za aktualizacje. Wystarczy jedna strona.