多 Agent 加密的意外代价：当 Codex 的子智能体变成「黑箱」

Sun, 12 Jul 2026 09:00:00 +0800

你正在用 Codex 的 Multi-Agent 功能做一件复杂的事：父 Agent 负责整体规划，派生子 Agent 去执行具体的代码修改。一切运行正常，子 Agent 完成任务后返回结果。

然后你打开 Rollout 历史，想看看当时给子 Agent 下达了什么具体指令。你看到的是一串 <ciphertext>。

这就是 Codex 社区正在经历的真实困境。一个本意是增强安全性的改动，却意外地让多智能体系统变成了开发者无法审计的「黑箱」。

发生了什么？

2026 年 6 月 5 日，OpenAI 合并了 PR #26210：「加密多智能体 V2 消息负载」。这个改动的动机很清晰：在多智能体通信链路中，父 Agent 发出的任务文本原本以明文形式存储在历史记录、Rollout 和遥测数据中。加密之后，这些消息在 Agent 之间传递时只有加密后的密文，接收端通过 OpenAI 的 API 内部解密后交给目标模型。

改动范围包括三个核心操作：spawn_agent（派生子 Agent）、send_message（发送消息）、followup_task（跟进任务）。在加密路径下，父 Agent 的工具调用变成这样：

{
 "name": "spawn_agent",
 "arguments": {
 "task_name": "worker",
 "message": "<ciphertext>"
 }
}

而 Codex 内部存储的跨 Agent 通信记录变成了：

{
 "author": "/root",
 "recipient": "/root/worker",
 "content": "",
 "encrypted_content": "<ciphertext>",
 "trigger_turn": true
}

注意 content 字段是空的。原本的可读任务描述消失了。

安全进步，还是审计倒退？

从安全角度看，这个改动确实有道理。明文任务文本在多个 Agent 之间传递时，任何能接触到历史文件或日志的人都能看到完整的操作指令。在企业环境中，这让安全团队不安。

Audit on Codexer

多 Agent 加密的意外代价：当 Codex 的子智能体变成「黑箱」

发生了什么？

安全进步，还是审计倒退？