Codex 加密了子 Agent 的指令：当 Prompt 成为核心商业机密

Fri, 17 Jul 2026 09:00:00 +0800

你正在用 Codex 的 Ultra 模式跑一个大型重构任务。模型切到了 Sol，开了一堆子 Agent 并行工作。跑着跑着，有个子 Agent 做了个奇怪的决定，删了一个不该删的文件。

你第一反应是什么？去看日志。你要搞清楚主 Agent 到底跟子 Agent 说了什么，是哪里出了偏差。

你打开 session 数据。找到了子 Agent 启动的那个节点。你期待的是一段清晰的提示词，类似「你的任务是重构 X 模块，注意不要修改 Y 接口」。但你看到的是一段乱码。

不是 base64。不是编码错误。是一段你完全无法解密的密文。

Hacker News 上 425 分的热帖标题写得很直白：「Codex starts encrypting sub-agent prompts」。这个 issue 在 GitHub 上引发了 250 条评论的激烈争论。一个看似技术的改动，揭开了 AI 工具链正在发生的深层转变。

发生了什么？

简单说：当你使用 GPT-5.6 Sol 或 Terra，并且模型决定启动子 Agent 时，主 Agent 发给子 Agent 的指令不再以明文形式出现在你的终端上。它被加密了。

加密不是在你的机器上做的。加密发生在 OpenAI 的后端。你的客户端收到的只是一段密文，一个完全不透明的 blob。子 Agent 拿着这段密文去 OpenAI 的服务器请求推理，服务器解密后执行，然后把结果返回来。

整个过程里，你作为用户，作为那个在自己的机器上跑 Agent 的人，看不到主 Agent 对子 Agent 说了什么。

多 Agent 加密的意外代价：当 Codex 的子智能体变成「黑箱」

Sun, 12 Jul 2026 09:00:00 +0800

你正在用 Codex 的 Multi-Agent 功能做一件复杂的事：父 Agent 负责整体规划，派生子 Agent 去执行具体的代码修改。一切运行正常，子 Agent 完成任务后返回结果。

然后你打开 Rollout 历史，想看看当时给子 Agent 下达了什么具体指令。你看到的是一串 <ciphertext>。

这就是 Codex 社区正在经历的真实困境。一个本意是增强安全性的改动，却意外地让多智能体系统变成了开发者无法审计的「黑箱」。

发生了什么？

2026 年 6 月 5 日，OpenAI 合并了 PR #26210：「加密多智能体 V2 消息负载」。这个改动的动机很清晰：在多智能体通信链路中，父 Agent 发出的任务文本原本以明文形式存储在历史记录、Rollout 和遥测数据中。加密之后，这些消息在 Agent 之间传递时只有加密后的密文，接收端通过 OpenAI 的 API 内部解密后交给目标模型。

改动范围包括三个核心操作：spawn_agent（派生子 Agent）、send_message（发送消息）、followup_task（跟进任务）。在加密路径下，父 Agent 的工具调用变成这样：

{
 "name": "spawn_agent",
 "arguments": {
 "task_name": "worker",
 "message": "<ciphertext>"
 }
}

而 Codex 内部存储的跨 Agent 通信记录变成了：

{
 "author": "/root",
 "recipient": "/root/worker",
 "content": "",
 "encrypted_content": "<ciphertext>",
 "trigger_turn": true
}

注意 content 字段是空的。原本的可读任务描述消失了。

安全进步，还是审计倒退？

从安全角度看，这个改动确实有道理。明文任务文本在多个 Agent 之间传递时，任何能接触到历史文件或日志的人都能看到完整的操作指令。在企业环境中，这让安全团队不安。

Encryption on Codexer

Codex 加密了子 Agent 的指令：当 Prompt 成为核心商业机密

发生了什么？

多 Agent 加密的意外代价：当 Codex 的子智能体变成「黑箱」

发生了什么？

安全进步，还是审计倒退？