AI 排障翻车复盘:Codex 沙箱 ACL 的视野盲区

Fri, 09 Oct 2026 08:00:00 +0800

日期: 2026-10-09 机器: 工作机(Windows 26H1,企业终端管控软件管控) 关联场景: 同期的 AI 协作与终端加固讨论

一、事件档案

1.1 症状(今天集中爆发)

双击打开桌面程序弹"打开文件 - 安全警告:无法验证发布者"(微软签名的记事本副本也弹);
程序图标全部变白页;
移动/编辑/压缩用户目录下的文件也弹确认框;
部分程序点击"运行"后仍无法正常打开。

1.2 真实根因(实测确认)

Codex 系 AI 编码工具的 Windows 沙箱,把它的 ACL 模板套在了整个 %USERPROFILE%\Desktop 目录树上。

桌面文件夹上被写入的非标准安全描述符:

Everyone:(DENY)(DC)                              ← 拒绝删除
S-1-4-<本地标识>:(OI)(CI)(W,D,DC)      ← 非标准 SID 获写/删除权
<机器名>\CodexSandboxUsers:(OI)(CI)(RX)   ← Codex 沙箱组
Mandatory Label\Low Mandatory Level:(OI)(CI)(NW) ← 低完整性标签,继承给全部子文件

关键机制链:

文件被继承打上 Low Mandatory Level(低完整性)标签 → Windows 沿用 IE 保护模式时代的信任语义,把低完整性文件视为"来自互联网的不可信来源" → Explorer 对这些文件的启动一律走附件管理器警告(“无法验证发布者”,签名有效也无效), 不加载内容图标(白页),移动/压缩等操作也弹确认。

完整因果链的每一环都由此闭环:为什么签名无效、为什么图标变白、为什么只有 C 盘用户目录触发(只有桌面树被套模板,TEMP/用户根/D 盘标签正常)、为什么移动文件也弹。

1.3 时间线

时间	事件
2026-09-16 18:29	CodexSandboxOffline/Online 沙箱账号创建(Codex 系工具入驻本机)
无日志可查	某次以桌面为工作区的沙箱会话,将 ACL 模板套上桌面目录树
2026-10-08	症状集中爆发;同日机器重启 9 次(期间还在用 AI 工具排查,可能反复触发)
2026-10-08 晚	本轮排障,定位并修复

1.4 叠加因素(独立事件,已顺手处理)

桌面另有 897 个带"网络下载标记"(Mark of the Web)的文档,移动/压缩时同样弹窗——Windows 原生行为,已批量解除锁定;
Snipaste"绑定快捷键失败"为故障会话残留状态,干净重启后自愈;
误诊期间曾怀疑该 EDR DLP(它确实向 Explorer 注入了钩子 DLL),最终证明与本症状无关——但注入事实本身值得另案记录。

1.5 修复动作

移除桌面文件夹上的 3 条沙箱 ACE + 完整性标签 Low→Medium(继承自动传播到全部子文件),重启 Explorer 刷新图标缓存。自动化终测:桌面 exe 直接启动、零弹窗。原 ACL 已备份至 Temp\desktop_acl_backup.txt。