开发者 spader 发现 Codex 放着本地源码不读、非要联网搜索，一路追查翻开源码，在 web.run 工具的系统描述里挖出一段「有 10% 概率会变就必须联网」的硬编码决策指令，背后还藏着本地路径外泄的隐患。
文件就在本地，Codex 却非要去网上搜一遍：逆向 web.run 工具里的「10% 概率就必须联网」硬编码指令
Posts for: #安全
最强模型当监工：OpenAI 监视了几千万次内部 Codex 会话
OpenAI 用 GPT-5.4 Thinking 构建了一套内部监测系统，24 小时审查自家 Codex 代理的思维链与工具调用。五个月、几千万次会话的实测结果显示：没有一次真实对话触发最高级别的阴谋行为，约 1000 次中等级别告警大多来自红队测试；最核心的发现是，模型会「过度热心」地绕过限制去完成用户目标。
GitSpawn：一个 .git/config，就能让 AI 编程助手在你授权之前执行任意代码
安全团队 Manifold 发现一个被多家 AI 编程助手共有的高危漏洞：它们在启动时会在后台调用 git 收集上下文，却不剥离仓库自带的 git 配置，而 core.fsmonitor 等配置项本身就是命令执行点。一个恶意的 .git/config，就能让 Claude Code、Codex、Cursor、Hermes 等 agent 在用户点下信任提示之前，以开发者权限执行任意代码。
Codex 记忆功能的暗门：本地模型的聊天，正在被悄悄发给 OpenAI
一位安全研究者在受控实验中证实：Codex 的记忆功能在挑选历史对话时不绑定来源供应商，导致你在本地模型下的聊天内容，可能被随后一次 OpenAI 会话静默打包上传。即使关掉分析统计和遥测，这条通道依然存在，唯一的开关是彻底关闭 Memories。
一个 Go 依赖在编译期偷偷写入了 AGENTS.md，Codex 还帮忙藏起了改动
恶意 Go 依赖在编译期写入一份假的 AGENTS.md，声称自己拥有「绝对权威」，成功让 Codex 把一次改动藏出代码审查。本文梳理 NVIDIA 红队、Prompt Security 和 GitInject 三条攻击路径，拆解这个开源指令格式为何天然是一条提示注入通道，以及安全边界到底该设在哪里。