Codex 沙箱初始化失敗怎麼辦（Windows）：沙箱設定失敗、錯誤 1385、Everyone 可寫警告與 MXC、elevated、unelevated 怎麼選

本文根據 Codex 官方文檔《Windows sandbox》《ChatGPT desktop app for Windows》《WSL》整理，資料核對於 2026-10-27。官方沒有給出「沙箱初始化失敗」的統一報錯原文，本文按官方 Troubleshooting 裏的幾類情況來講。配圖為本站整理的示意圖，不是軟件截圖。

適用於誰

• 在 Windows 上用 ChatGPT 桌面 App（Codex 模式）、Codex CLI 或 IDE 插件，沙箱設定過程失敗，或設定完命令仍跑不起來的人；
• 看到 Windows 錯誤 1385，或「某些文件夾 Everyone 可寫」警告的人；
• 在公司電腦上使用，設定被策略攔住的人；
• 想弄懂 mxc、elevated、unelevated 區別的人。

Linux 和 WSL2 裏沙箱啟動失敗（缺少 bwrap、無法創建用戶命名空間）的處理，見 /guides/codex-permissions-sandbox，本文只講 Windows 原生沙箱。

結論先說

1. 先弄清楚自己用的是哪種沙箱。 官方說 Codex 在 Windows 上有三種實現：mxc（在兼容的裝置上推薦）、elevated（MXC 不可用時的首選後備，需要管理員批准的設定）、unelevated（更弱的後備）。
2. 設定失敗，最常見的原因官方列了五條：管理員或 UAC 提示被拒絕；電腦不允許創建本地用戶或組；不允許修改防火牆規則；系統阻止沙箱用戶需要的登入權限；公司的其他策略攔住了設定流程。
3. 個人電腦：重新運行 elevated 沙箱設定，並批准管理員提示。
4. 公司電腦：把官方文檔發給 IT，問清楚是否允許「創建本地用戶和組、配置防火牆、授予沙箱用戶登入權限」。
5. 需要先繼續工作：如果管理策略允許，官方說可以臨時用 unelevated，但它的隔離更弱。
6. 要給官方反饋：發 CODEX_HOME/.sandbox/sandbox.log，不要發 CODEX_HOME/.sandbox-secrets/ 的內容。

圖：本站根據 Codex 官方文檔：Windows sandbox 整理的示意圖

一、三種沙箱實現的區別

官方的描述（本站轉述）：

• mxc：兼容 Windows 裝置上推薦的沙箱。用原生進程隔離，不需要管理員批准的設定、額外的 Windows 帳戶或本地防火牆規則；
• elevated：MXC 不可用或被禁用時的首選後備。需要管理員批准的設定，沙箱裏的命令不以管理員權限運行；它使用專用的低權限沙箱用戶、文件系統權限邊界、防火牆規則和本地策略修改；
• unelevated：elevated 設定不可用且組織策略允許時的後備。用你當前用戶派生的受限令牌和基於 ACL 的文件系統邊界；網絡隔離比 elevated 弱，不支持「禁止讀取路徑」。

官方的選擇建議：裝置和策略支持就用 MXC；否則優先 elevated，unelevated 作為次選。

圖：本站根據 Codex 官方文檔：Windows sandbox 整理的示意圖

MXC 要什麼條件

官方寫明，桌面 App 會為個人帳號在裝置支持時自動優先使用 MXC；企業部署或單獨使用命令行時，可以在 config.toml 裏設定：

toml
[features]
prefer_mxc = true

裝置需要已具備微軟的「Microsoft Execution Containers（MXC）」能力，微軟在 Windows 11 24H2（build 26100.9278）和 25H2（build 26200.9278）引入了 MXC 進程隔離。Codex CLI 0.162.0 及以上，官方給了一條不改變已儲存沙箱選擇的檢測命令：

powershell
codex -c windows.sandbox=mxc sandbox --include-managed-config --permission-profile :workspace -- cmd.exe /d /c echo MXC_OK
$LASTEXITCODE

期望輸出是 MXC_OK 且退出碼為 0。官方還提醒：顯式選擇 windows.sandbox = "mxc" 時，如果缺少必要的原生能力或被策略阻止，會失敗。

二、設定失敗怎麼辦

官方 Troubleshooting 裏「My legacy sandbox setup failed」一節，列的常見原因：Windows 的 UAC 或管理員提示被拒絕；機器不允許創建本地用戶或組；機器不允許修改防火牆規則；機器阻止沙箱用戶需要的登入權限；其他企業策略攔住了設定流程。官方給的做法：

1. 重新做一次 elevated 沙箱設定，環境允許的話批准管理員提示；
2. 公司筆記本上被攔住，問 IT 是否允許管理員批准的設定（創建本地用戶或組、配置防火牆、授予沙箱用戶需要的登入權限）；
3. 仍失敗且管理策略允許，可以在問題排查期間用 unelevated。

IT 部門可以在沒有本地管理員權限的員工使用前，從提升權限的部署流程裏預先配置 elevated 沙箱，官方給的命令是：

powershell
codex sandbox setup --elevated --user 'DOMAIN\alice' --codex-home 'C:\Users\alice\.codex'

這條命令是寫給 IT 的，需要把身份和路徑換成對應員工的，個人用戶不用執行。

三、其他幾種常見提示

提示「被切換到了 unelevated 沙箱」

官方解釋：unelevated 可能是配置裏選的，也可能是 elevated 設定不可用時的後備。它仍然是沙箱模式，仍有基於 ACL 的文件系統邊界，但沒有獨立的沙箱用戶邊界，網絡隔離更弱。官方說這是有用的後備，不是企業長期的首選配置；受管的公司電腦先查 MXC 兼容性，不行再請 IT 配置 elevated。

Windows 錯誤 1385

官方說明：沙箱裏的命令報錯 1385，是 Windows 拒絕了沙箱用戶啟動命令所需的登入類型。通常意味着 Codex 已經成功創建了沙箱用戶，但 Windows 策略仍阻止這些用戶啟動命令。官方的處理：問 IT 裝置策略是否給了 Codex 創建的沙箱用戶需要的登入權限；如果只有部分機器或團隊有問題，對比組策略或 OU 的差異；需要馬上幹活可以臨時用 unelevated；並把 CODEX_HOME/.sandbox/sandbox.log、Windows 版本和問題描述發給官方。

提示某些文件夾 Everyone 可寫

官方說明：Windows 權限對這些文件夾太寬，沙箱沒法完整保護它們。處理：看警告裏列出的文件夾；在你的環境合適的情況下，移除 Everyone 的寫權限；然後重啟 Codex 或重新運行沙箱設定。不確定怎麼改權限的，請 IT 幫忙。

沙箱裏的命令連不上網

官方說明：有些 Codex 對話是故意在沒有外網訪問的情況下運行的，取決於權限模式。先確認這次任務是不是本來就應該禁網；預期有網卻沒有，重啟 Codex 再試；反覆出現時收集沙箱日誌給官方。權限模式怎麼選見 /guides/codex-permissions-sandbox。

以前正常，後來不行了

官方列的觸發情形：移動了倉庫或工作區、改了機器權限、改了 Windows 策略等系統配置。官方的處理：重啟 Codex；用 MXC 的話重新跑上面的兼容檢測並檢查有效的網絡策略；用 legacy elevated 的話重新做沙箱設定；需要時臨時用 unelevated；並收集日誌。

四、IDE 插件裝好了沒反應

官方 Troubleshooting 還有一條：IDE 插件裝好但沒反應，可能是系統缺少 C++ 開發工具（Visual Studio Build Tools 的 C++ 工作負載、Microsoft Visual C++ Redistributable x64）。官方給的 winget 命令是 winget install --id Microsoft.VisualStudio.2022.BuildTools -e，裝完要完全重啟 VS Code。

五、不想用原生沙箱：用 WSL2

官方說，需要 Linux 原生工具鏈、工作流本來就在 WSL2 裏，或原生 Windows 的實現滿足不了需求時，可以選 WSL2。在桌面 App 裏打開設定，把代理從 Windows 原生切到 WSL，並重啟應用才生效。WSL1 只支持到 Codex 0.114，從 0.115 起 Linux 沙箱改用 bubblewrap，不再支持 WSL1。Windows 版 App 的下載和安裝見 /guides/codex-windows-app-download-install。

六、反饋時帶什麼

官方列的：CODEX_HOME/.sandbox/sandbox.log；一句話說明你想做什麼；選的是 mxc、elevated 還是 unelevated；App 裏顯示的錯誤訊息；是否看到 1385 或其他 Windows、PowerShell 錯誤；Windows 的 build 號；是 Windows 11 還是 Windows 10。不要發的是 CODEX_HOME/.sandbox-secrets/ 裏的內容。

常見問題

Q：我用的是 Windows 10，行嗎？

官方的版本表寫的是：Windows 11 是推薦；「最新且完全更新的 Windows 10」是盡力而為，實際需要 1809 或更新版本；更老的 Windows 10 不推薦。MXC 另需對應的原生能力，這張表不能說明某台裝置是否支持。

Q：不開沙箱，直接全權限運行行不行？

官方明確警告：完全訪問模式下 Codex 不限於項目目錄，可能做出非預期的破壞性操作導致數據丟失。官方建議保留沙箱邊界，用規則做有針對性的例外，見 /guides/codex-permissions-sandbox。

Q：PowerShell 提示「running scripts is disabled on this system」？

這是 PowerShell 執行策略問題，不是沙箱。官方在 Windows 應用文檔裏寫了，常見做法是把執行策略設成 RemoteSigned，修改前先看微軟的執行策略說明。

Q：用到 Codex 需要什麼套餐？

Codex 包含在 ChatGPT 各套餐裏，額度不同，見 /guides/codex-usage-limits；想開通 Plus 可以看 /chongzhi/chatgpt-plus。

參考資料

• Codex 官方文檔：Windows sandbox — https://learn.chatgpt.com/docs/windows/windows-sandbox
• Codex 官方文檔：ChatGPT desktop app for Windows — https://learn.chatgpt.com/docs/windows/windows-app
• Codex 官方文檔：WSL — https://learn.chatgpt.com/docs/windows/wsl
• Codex 官方文檔：Agent approvals and security — https://learn.chatgpt.com/docs/agent-approvals-security