Codex CLI installe un daemon persistant par défaut
Original : Codex CLI installs a persistent, self-updating background daemon by default
Pourquoi c'est important
Un outil dev qui s'auto-met à jour en dehors du gestionnaire de paquets pose un vrai problème de chaîne de confiance.
Depuis la version 0.157.0, Codex CLI d'OpenAI installe silencieusement un daemon en arrière-plan lors de chaque session, se mettant à jour automatiquement toutes les heures sans accord préalable de l'utilisateur.
Un ticket ouvert sur GitHub (issue #48195) pointe un comportement pour le moins surprenant introduit dans Codex CLI 0.157.0 : à chaque ouverture d'une session interactive, l'outil installe et lance un daemon persistant (`codex app-server --managed-daemon`) en arrière-plan. Ce processus survit à la fermeture de la fenêtre Codex, se rattache au PID 1 et continue de tourner jusqu'au prochain redémarrage ou à un arrêt manuel.
Au-delà de la persistance, le daemon copie l'intégralité du package platform (~374 Mo : `codex`, `codex-code-mode-host`, plus des outils embarqués comme `bwrap`, `zsh` et `rg`) dans `~/.codex/packages/app-server-daemon/releases/<version>/`. Résultat : la version du backend se dissocie de celle installée via le gestionnaire de paquets.
Un second processus détaché (`pid-update-loop`) vérifie les mises à jour 5 minutes après le démarrage, puis toutes les heures, et redémarre le backend sans intervention. L'auteur du ticket demande que `daemon_auto_start` soit désactivé par défaut ou, au minimum, soumis à consentement explicite. L'issue est ouverte et taguée `enhancement`.