Agent 跑长任务最大的瓶颈不是模型能力，是它每越界一步都要你按一次确认，而你不可能一直在线。Guardian 子代理就是来解决这件事的：它跑在只读沙箱里，输出 0 到 100 的风险分，低于 80 就自动放行。这篇文章拆它的判定维度、源码里的真实常数、v0.160.0 补的上下文，以及启用之前你必须想清楚的三个问题。

Codex CLI 0.162.0 补掉两个 Linux 沙箱的洞：一份 ripgrep 配置能让 deny 黑名单失效，一个可写的 bwrap 能被当成沙箱启动器。同期的 0.161.0 还换掉了默认模型、把 Daybreak 改成必须显式打开，而这三个新键在官方配置文档里都查不到。

一个提示词，40 分钟，零死亡。agent-wow 的作者让 Codex 配上 GPT-6 Astra 去玩魔兽世界，模型从没看过一帧画面，也没碰过键鼠，而是直接跟游戏服务器讲协议。本文拆解这次实验的做法：框架不给任何游戏动作只给模块系统、从 SQL 文件里挖出任务清单、自己写 C++ 寻路程序，以及作者划下的那条「静态文件可以读、运行中的服务器不能碰」的线，并补上这些选择对日常写代码的启示。

Windows 上没有 Seatbelt，也没有 seccomp。Codex 团队只能自己造沙箱：先用合成 SID 加写受限令牌把文件写入管住，再为了让防火墙只作用在这一棵沙箱进程树上而接受管理员提权。本文拆解两次重做的取舍，并补上两件真实发生的事，沙箱 ACL 铺到整个用户目录引发的隐私争议，以及一条信任 Everyone 的命名管道如何让共享机器上的凭据被拿走。

OverEager-Bench 用 500 个场景、约 7500 次运行测出：Codex CLI 在良性任务上的越权率落在 5.4% 到 13.8% 之间，同一套执行框架换个模型能差 2.5 倍；SNARE 再用 10000 次自适应采样把越权拆成 24 种原型，并算出框架占 56.1% 的行为方差。本文拆解这批数据，给出可复制的分层防线配置，并解释为什么这类失败永远不会出现在成功回报里。