https://codexer.com/tags/%E5%AE%A1%E6%89%B9/Recent content in 审批 on CodexerHugozh-cnTue, 20 Oct 2026 07:00:00 +0800https://codexer.com/posts/2026-10-20-codex-guardian-approval-subagent/Tue, 20 Oct 2026 07:00:00 +0800https://codexer.com/posts/2026-10-20-codex-guardian-approval-subagent/<p>凌晨一点半，你把一个批量任务丢给 Codex：给 80 个测试文件补用例，顺便把 lint 修干净。</p> <p>早上七点回来，终端停在第 3 个审批提示上。光标在 <code>[y/N]</code> 后面闪了一夜，后面的活一行没动。</p> <p>这是现在 agentic coding 最容易被忽略的一种失败。不是模型不会写，是它每往外走一步都要你点头，而你不可能 24 小时坐在屏幕前点头。</p> <h2 id="审批提示为什么成了瓶颈">审批提示为什么成了瓶颈</h2> <p>Codex 的两层控制里，沙箱和审批分工不同。沙箱定死了能碰什么，审批决定这次要不要问你。默认组合是 <code>workspace-write</code> 加 <code>on-request</code>：写项目内的文件不用问，越出这个范围才问。</p> <p>问题出在越界操作的密度上。一个 80 个文件的批量任务，中间会夹着装包、<code>curl</code> 拉 schema、写 <code>/tmp</code> 临时文件、跑 <code>git</code> 子命令，几十次审批请求。人在的时候还能按，人不在就全停。</p> <p>另一个极端是把 <code>approval_policy</code> 直接设成 <code>never</code>。审批消失了，护栏也一起消失了，这等于拿安全换通宵。</p> <p>Guardian 子代理就是填在这个缝里的东西。</p> <h2 id="guardian-是什么">Guardian 是什么</h2> <p>它是一个内置的审稿人，独立于主代理之外跑一次模型调用。链路是这样：</p> <pre tabindex="0"><code>主代理想执行工具调用 ↓ 触发 approval_policy Guardian 评估这个动作 ↓ 放行 / 拒绝 / 升级给人 </code></pre><p>它 2026 年 4 月随 Smart Approvals 路由一起进来（v0.119），v0.160.0 才补上真正让它好用的部分：跨会话和跨代理的上下文。</p> <p>有个细节值得单独拎出来：Guardian 自己锁在只读沙箱里，<code>approval_policy</code> 固定为 <code>never</code>，也不继承你的 exec-policy 规则。审稿人不能改稿，也不能给自己开权限。这条设计比它判得准不准更重要。</p> <h2 id="它到底看什么">它到底看什么</h2> <p>公开资料里，Guardian 评的东西有四类：</p>