Codex Windows自动更新后沙箱报错的问题排查与解决方法

目录

• 问题背景
• 排查结论
• 关键证据 1：PATH 仍指向旧 app 包
• 关键证据 2：同目录 rg.exe 不能执行
• 关键证据 3：文件是 Encrypted / Application Protected
• 关键证据 4：不是所有 exe 都不能运行
• node_modules路径过深是不是原因？
• 为什么 apply_patch 也会报错？
• 可能触发类似报错的操作
• 尝试过的修复
• 1. 清理旧 runner 残留
• 2. 隔离并重建 runtime cache
• 3. Windows App Repair
• 4. Windows App Reset
• 当前推断
• 建议解决方案

本文记录一次 Codex Windows 桌面端自动更新后的 sandbox 报错排查过程。结论先说：这不像普通项目目录权限问题，也不像单纯的 node_modules 路径过深问题；更可疑的是自动更新后 WindowsApps 应用包中的 appresources 可执行文件处于 Encrypted / Application Protected 状态，导致沙箱上下文无法正常执行或加载。

在 Codex Windows 桌面端左上角出现蓝色更新图标后，我点击了自动更新。更新完成后，沙箱相关操作开始间歇性报错，典型报错是：

codex-windows-sandbox-setup.exe
找不到指定的模块。

后续排查中还复现了另一个关键错误：

程序“rg.exe”无法运行: 拒绝访问。

环境信息：

OS: Windows 11, 26100 系列
Shell: Windows PowerShell 5.1
Codex app package path:
C:Program FilesWindowsAppsOpenAI.Codex_26.616.9593.0_x64__2p2nqsd0c76g0

Codex runtime cache version:
26.622.11653

这次问题不是“沙箱完全坏了”。分步测试结果如下：

• 最小 PowerShell 启动：成功
• 工作区文件写入：成功
• apply_patch 编辑：间歇性失败
• 中文路径写入：成功
• 读取 .codex.sandbox-bin：成功
• 读取 .cachecodex-runtimes：成功
• 读取 WindowsApps 中的 exe 属性：成功
• 执行 WindowsApps…appresourcesrg.exe：失败，拒绝访问

也就是说，普通沙箱启动和工作区读写多数情况下没有问题。真正异常集中在：

C:Program FilesWindowsAppsOpenAI.Codex_26.616.9593.0_x64__2p2nqsd0c76g0appresources

这个目录里的可执行文件能被找到，也能读取属性，但在当前上下文中不能正常执行。

当前 Codex 进程的 PATH 中包含：

C:Program FilesWindowsAppsOpenAI.Codex_26.616.9593.0_x64__2p2nqsd0c76g0appresources

但重新生成后的 runtime cache 中显示：

bundleVersion = 26.622.11653

这说明自动更新后出现了一个可疑状态：

runtime cache 已经是 26.622.11653
但当前 app 进程和 PATH 仍指向 26.616.9593.0 的 WindowsApps 包

这里不能直接断定版本号必须一致，因为 app package version 和 runtime bundle version 可能不是同一套编号。但从故障现象看，这个“更新后路径仍指向旧包”的状态值得怀疑。

codex-windows-sandbox-setup.exe 是沙箱 setup 程序，直接运行可能修改沙箱账户或权限，所以没有贸然执行它。为了降低风险，我用同目录下的 rg.exe 做了对照测试：

Get-Command codex-windows-sandbox-setup.exe,rg.exe

两者都解析到：

C:Program FilesWindowsAppsOpenAI.Codex_26.616.9593.0_x64__2p2nqsd0c76g0appresources

然后执行：

rg.exe --version

结果失败：

程序“rg.exe”无法运行: 拒绝访问。
CategoryInfo: ResourceUnavailable
FullyQualifiedErrorId: NativeCommandFailed

这说明同一个 appresources 目录中的普通工具也无法在当前上下文中运行。

检查失败文件属性：

Get-Item "C:Program FilesWindowsAppsOpenAI.Codex_26.616.9593.0_x64__2p2nqsd0c76g0appresourcesrg.exe"
Get-Item "C:Program FilesWindowsAppsOpenAI.Codex_26.616.9593.0_x64__2p2nqsd0c76g0appresourcescodex-windows-sandbox-setup.exe"

两者都显示：

Attributes: Archive, Encrypted

继续使用：

cipher /c "C:Program FilesWindowsAppsOpenAI.Codex_26.616.9593.0_x64__2p2nqsd0c76g0appresourcesrg.exe"
cipher /c "C:Program FilesWindowsAppsOpenAI.Codex_26.616.9593.0_x64__2p2nqsd0c76g0appresourcescodex-windows-sandbox-setup.exe"

结果为：

E rg.exe
  Compatibility Level:
    Application Protected

E codex-windows-sandbox-setup.exe
  Compatibility Level:
    Application Protected

这说明它们是 WindowsApps 应用包中的受保护加密文件。当前上下文可以定位文件，但执行或加载时可能无法通过 Windows 的应用保护机制。

为了排除“沙箱环境禁止所有外部 exe”的可能，我测试了 runtime cache 中的 Git：

C:Userslenovo.cachecodex-runtimescodex-primary-runtimedependenciesnativegitcmdgit.exe --version

结果成功：

git version 2.53.0.windows.3

这说明问题不是泛化的 exe 执行失败，而是更集中在 WindowsApps app package 的 appresources 目录。

排查过程中确实遇到过一次 node_modules 深层路径问题：

Copy-Item : Could not find a part of the path ...
...node_modules.pnpm@napi-rs+canvas-win32-x64-msvc...

这是备份 runtime cache 时触发的路径长度/深层目录问题。换用 robocopy 后复制成功，FAILED = 0。

但这不是核心沙箱报错原因。原因是：

1. 主要失败点 rg.exe 位于 WindowsApps 的 appresources，路径长度远不到 260 字符；
2. codex-windows-sandbox-setup.exe 也在同一个短路径目录；
3. 两者共同异常是 Encrypted / Application Protected，不是路径过深。

所以可以把它区分为：

node_modules 路径过深：备份过程中的次要问题
WindowsApps resources exe 拒绝执行：本次沙箱报错的主要问题

排查后期，apply_patch 也触发过一次沙箱 helper 报错：

windows sandbox failed: orchestrator_helper_launch_canceled:
ShellExecuteExW failed to launch setup helper: 1223

这个错误和普通 Set-Content 写文件不同。apply_patch 不是简单地在当前 PowerShell 里写文件，它会走 Codex 自己的文件编辑通道，并在需要时调用 Windows sandbox setup/helper 相关组件。当前机器上可疑的失败点正是：

C:Program FilesWindowsAppsOpenAI.Codex_26.616.9593.0_x64__2p2nqsd0c76g0appresourcescodex-windows-sandbox-setup.exe

因此，apply_patch 报错可以理解为：

普通 shell 写入仍可成功
但 Codex 专用编辑通道需要启动 sandbox setup/helper
-> helper 位于 WindowsApps appresources
-> 该目录中的 exe 是 Encrypted / Application Protected
-> 当前上下文无法稳定启动 helper
-> apply_patch 失败

这也是为什么后来用普通 PowerShell：

Set-Content -LiteralPath .outputsxxx.md -Encoding UTF8

可以成功写入 Markdown，而 apply_patch 会失败。

下面这些操作更可能触发同类问题，因为它们可能需要 Codex 调用 sandbox setup/helper、命令 runner 或 WindowsApps appresources 下的可执行文件。

操作	可能触发原因
apply_patch 编辑文件	走 Codex 专用 patch/edit 通道，可能需要启动 sandbox helper，而 helper 依赖 codex-windows-sandbox-setup.exe。
第一次运行某类沙箱命令	如果 Codex 需要初始化或修复 sandbox 环境，可能触发 sandbox setup helper。
需要升级权限或切换执行上下文的命令	可能调用 Windows sandbox setup/helper 或 command runner，受 WindowsApps Application Protected 文件影响。
执行 rg.exe、codex-windows-sandbox-setup.exe 等来自 WindowsApps appresources 的 exe	这些文件被标记为 Encrypted / Application Protected，当前上下文执行时报 拒绝访问 或模块加载失败。
Codex 自动更新后第一次触发工具链	更新可能造成 runtime cache、sandbox runner、WindowsApps package path 暂时不一致。
清理或移动 .codex.sandbox-bin 后立即运行沙箱命令	runner 缺失会导致 CreateProcessWithLogonW failed: 2，即需要的可执行文件找不到。
复制或备份 .cachecodex-runtimes 中深层 node_modules	可能触发 Windows 长路径问题；这是备份问题，不是主沙箱问题。
直接从 C:Program FilesWindowsApps...appresources 运行工具	WindowsApps 目录受应用包保护，普通用户/沙箱上下文可能读得到但执行不了。

需要区分两类错误：

路径过深 / node_modules：主要影响复制、备份、Copy-Item
WindowsApps Application Protected：主要影响执行 appresources 里的 exe

本次 apply_patch 更符合第二类：它可能间接触发了 WindowsApps 中的 sandbox setup helper。

.codex.sandbox-bin 中存在多个旧版本 runner。我将旧版本移动到 quarantine，只保留：

codex.exe
codex-command-runner-0.142.0.exe

结果：普通沙箱写入仍成功，但 WindowsApps resources 执行问题没有消失。

备份后隔离：

C:Userslenovo.cachecodex-runtimes

重启 Codex 后，该目录可以重新生成。

结果：runtime cache 能重建，但 rg.exe --version 仍然 拒绝访问。

执行 Codex app 的 Repair 后再次测试。

结果：未修复。

执行 Codex app 的 Reset 后再次测试。

结果：仍未修复。说明 Reset 主要影响应用数据和缓存，并没有重新部署 WindowsApps app 包本体。

根据现有证据，更可能的错误链路是：

Codex 需要运行 codex-windows-sandbox-setup.exe
-> PATH 解析到 WindowsAppsOpenAI.Codex_26.616...appresources
-> 该 exe 是 Encrypted / Application Protected
-> 当前沙箱启动上下文无法正常执行或加载
-> 报 “找不到指定的模块” 或 “拒绝访问”

这更像 Codex Windows 自动更新后的本地 app package 部署或应用保护状态异常，而不是项目目录权限、普通 sandbox 配置、runtime cache 或 node_modules 路径过长导致的问题。

按风险从低到高：

1. 完全退出 Codex，包括后台和托盘进程，然后重新打开。
2. 备份关键目录：

C:Userslenovo.codex
C:Userslenovo.cachecodex-runtimes
C:UserslenovoDocumentsCodex

3. 尝试 Windows 设置中的 Repair。
4. 如果不担心登录状态和本地缓存丢失，可以尝试 Reset。
5. 如果 Repair 和 Reset 都无效，建议卸载 Codex，并从官方渠道重新下载安装。

不建议直接手动修改 C:Program FilesWindowsApps 下的文件权限、加密属性或 exe 文件。这个目录由 Windows 应用包机制管理，强行修改可能破坏应用签名、包注册和后续更新。

以上就是Codex Windows自动更新后沙箱报错的问题排查与解决方法的详细内容，更多关于Codex Windows更新报错解决的资料请关注风君子博客其它相关文章！