Codex CLI installiert standardmäßig einen dauerhaften Hintergrunddienst, der sich selbst aktualisiert

Michael Dobler

Autor Dr. Web

13. Oktober 2026

3 Min. Lesezeit

Seit Version 0.157.0 startet OpenAIs Codex CLI beim Öffnen einer interaktiven Sitzung einen Hintergrunddienst, der nach dem Schließen des Terminals weiterläuft. Der Dienst sucht stündlich nach Updates und spielt sie am Paketmanager vorbei ein. OpenAI fragt Anwender vorher nicht; die Abschaltoption fehlt in der offiziellen Konfigurationsreferenz.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Rund 374 Megabyte Programmdateien kopiert die Codex CLI in ein eigenes Verzeichnis unter ~/.codex/packages und startet daraus einen Serverprozess. Ein Fehlerbericht vom 25. September im GitHub-Repository von Codex beschreibt diesen Ablauf unter Linux.^[2] Bis zum 13. Oktober meldeten Entwickler dasselbe Verhalten unter Windows und macOS; im Fehlerbericht steht eine Antwort von OpenAI noch aus.

Das Wichtigste in Kürze

OpenAI hat die Option daemon_auto_start am 22. September für interaktive Sitzungen standardmäßig eingeschaltet.
Der Dienst läuft bis zum Neustart des Rechners weiter, ein eigener Update-Prozess prüft stündlich auf neue Versionen.
Vom Daemon gestartete Server übermitteln seit Version 0.161.0 standardmäßig Analysedaten, ein Fehlerbericht meldet zudem durchsickernde Umgebungsvariablen.
Abschalten lässt sich der Dienst per Befehl, OpenAIs Konfigurationsreferenz führt den Schalter aber nicht auf.

Was macht der neue Hintergrunddienst der Codex CLI?

Geschlossener Laptop und mechanisches Uhrwerk mit Anhänger — OpenAI aktivierte am 22. September einen Hintergrunddienst automatisch für geeignete Sitzungen durch eine Codeänderung

Am 22. September schaltete OpenAI den Daemon, also den Hintergrunddienst, per Codeänderung für alle geeigneten interaktiven Sitzungen ein.^[3] In den Versionshinweisen vom 25. September steht dazu ein einziger Satz: Der Hintergrundserver starte für geeignete Sitzungen nun automatisch.^[1]

Laut dem Fehlerbericht läuft der Prozess codex app-server --managed-daemon ohne Terminal in einer eigenen Sitzung und überlebt jedes geschlossene Fenster. Ein zweiter Prozess prüft fünf Minuten nach dem Start und danach stündlich auf neue Versionen, lädt sie herunter und startet den Server neu. Der Befehl codex app-server daemon stop beendet zwar den Server, der Update-Prozess lief im Test des Berichtsautors aber weiter.^[2]

Seit Version 0.161.0 vom 7. Oktober übermitteln vom Daemon gestartete Server außerdem standardmäßig Analysedaten, so wie OpenAIs übrige Anwendungen. Die Einstellung analytics.enabled = false stellt die Übermittlung ab.^[4]

Warum umgeht der Dienst festgeschriebene Versionen?

Nach dem ersten Selbst-Update weichen installierte Version und laufender Code voneinander ab. Firmen, die Werkzeuge über npm oder Homebrew auf eine geprüfte Version festschreiben, betreiben dann eine Fassung, die keiner freigegeben hat. GitHub lässt Dependabot drei Tage warten, bevor neue Paketversionen ins Projekt gelangen. Diese Wartezeit gegen Lieferketten-Angriffe greift beim Codex-Daemon nicht, weil das Update am Paketmanager vorbeiläuft.

Der Daemon übernimmt außerdem die Umgebungsvariablen der Sitzung, die ihn zuerst gestartet hat, etwa die Proxy-Einstellung. Spätere Sitzungen mit anderen Einstellungen laufen laut dem Fehlerbericht trotzdem über diesen ersten Proxy.^[2] Ein zweiter Fehlerbericht vom 13. Oktober meldet für Version 0.162.1, dass Umgebungsvariablen zwischen Sitzungen durchsickern.^[6] Schon im Juni berichtete Dr. Web, dass Codex sensible Dateien nicht ausschließen konnte.

Bei einem Update gibt der Daemon laufenden Agenten-Schritten nur 60 Sekunden Zeit, danach beendet der Daemon sie per SIGKILL. Schon am 26. August, vor der Standard-Einschaltung, beschrieb ein Fehlerbericht diese Frist für den Fernsteuerungsmodus: Ein Update brach dort auf einem Server mit 13 parallelen Agenten-Sitzungen alle laufenden Schritte gleichzeitig ab.^[5]

Der Codex-Daemon in Zahlen

Was seit Version 0.157.0 im Hintergrund Ihrer Entwicklerrechner läuft

374 MB

Programmdateien kopiert die Codex CLI in ein eigenes Verzeichnis und startet den Dienst aus dieser Kopie

1 Stunde

beträgt der Takt, in dem der Update-Prozess nach neuen Versionen sucht, die erste Prüfung folgt nach fünf Minuten

60 s

Frist erhalten laufende Aufgaben bei einem Update, danach beendet der Dienst sie hart

Einträge zur Abschaltoption daemon_auto_start enthielt OpenAIs Konfigurationsreferenz am 13. Oktober

Vom Fehlerbericht zum Standard

26. August

60-Sekunden-Frist

Schon vor dem Standard-Start meldet ein Fehlerbericht, wie ein Update im Fernsteuerungsmodus die Schritte von 13 Agenten-Sitzungen abbricht.

22. September

Standard: an

OpenAI schaltet den automatischen Start für interaktive Sitzungen ein.

25. September

Version 0.157.0

Die Versionshinweise erwähnen den Daemon in einem Satz, am selben Tag folgt der Fehlerbericht.

7. Oktober

Analyse an

Mit Version 0.161.0 übermitteln vom Daemon gestartete Server standardmäßig Analysedaten.

13. Oktober

Variablen wandern

Ein neuer Bericht meldet, dass Umgebungsvariablen zwischen Sitzungen durchsickern.

Ein Coding-Agent, der nach Feierabend weiterläuft und sich stündlich selbst erneuert, gehört ins Software-Inventar jeder IT-Abteilung.
Markus Seyfferth, Chefredakteur Dr. Web

Was verlangt das EU-Recht, und was können Sie jetzt tun?

Zoom hat einen solchen Hintergrunddienst schon einmal entfernt: Der Hersteller hatte 2019 auf Macs einen lokalen Webserver installiert, der auch nach dem Löschen der App weiterlief. Nach öffentlicher Kritik entfernte Zoom den Server am 9. Juli 2019 per Patch und ergänzte eine Option zum vollständigen Deinstallieren.^[7]

Der europäische Cyber Resilience Act erlaubt automatische Sicherheitsupdates als Standard, verlangt dafür aber einen klaren und benutzerfreundlichen Opt-out. Die Pflicht gilt ab dem 11. Dezember 2027.^[8] Ein Schalter, den OpenAIs Konfigurationsreferenz nicht aufführt,^[9] lässt sich schwer als klar und benutzerfreundlich bezeichnen. Mit vier Schritten, die zu den Cybersecurity-Grundlagen für KMU passen, bringen IT-Abteilungen den Daemon schon heute unter Kontrolle:

Prozesse prüfen: Suchen Sie auf Entwicklerrechnern nach laufenden Prozessen mit app-server daemon im Namen, auch nachdem alle Terminals geschlossen sind.
Automatik abschalten: codex features disable daemon_auto_start verhindert neue Starts, und codex app-server daemon stop beendet den Server. Den Update-Prozess beenden Sie danach eigens, im Fehlerbericht per pkill -f 'app-server daemon pid-update-loop'.
Gemeinsame Server absichern: Auf Rechnern mit mehreren Anwendern startet codex --no-daemon Sitzungen ohne Hintergrunddienst.
Analyse regeln: Mit analytics.enabled = false in der config.toml unterbinden Sie die Übermittlung von Analysedaten durch den Daemon.

Apple verschärfte Anfang Oktober die Freigabe des Festplattenvollzugriffs für KI-Agenten. Für Ihre Freigabeprozesse folgt aus dem Codex-Fall: Ein KI-Werkzeug gilt erst als freigegeben, sobald feststeht, welche Prozesse das Werkzeug startet und wer seine Updates genehmigt. Weitere Meldungen zu Agenten im Unternehmen bündelt die Rubrik Künstliche Intelligenz.