OpenAI 為 Codex 子智能體（sub-agent）啟用了提示詞默認(rèn)加密：所有通過 sub_agent.invoke() 發(fā)起的調(diào)用，其 Prompt 內(nèi)容在傳輸層和內(nèi)存層自動(dòng)使用 AES-256 加密。密鑰由運(yùn)行時(shí)沙箱動(dòng)態(tài)生成，單次有效，不進(jìn)入 LLM 輸入上下文，也不出現(xiàn)在任何日志中。

這種加密在調(diào)用鏈層面實(shí)現(xiàn)了 Prompt 的強(qiáng)制隔離。無論子智能體部署在本地容器、云函數(shù)，還是第三方編排平臺(tái)（如 LangGraph、LlamaIndex），原始提示指令都無法被中間代理、監(jiān)控中間件或異常捕獲模塊直接讀取。開發(fā)者無需再手動(dòng)封裝 encrypt_prompt()、重寫 invoke_with_encryption()，也不用對(duì)接外部 KMS——加密邏輯已深度集成進(jìn) Codex SDK v1.3.0+ 的 SubAgentRunner 底層，開箱即用。

默認(rèn)加密不是功能開關(guān)，而是調(diào)用契約

OpenAI 沒有提供禁用選項(xiàng)。只要調(diào)用 sub_agent.invoke({"prompt": "transfer $5000 to account X"})，就會(huì)觸發(fā)自動(dòng)加解密流水線：Prompt 在進(jìn)入子智能體前加密，僅在目標(biāo)子智能體的 runtime 沙箱內(nèi)解密執(zhí)行；執(zhí)行完畢后，密文立即從內(nèi)存清零。調(diào)試時(shí) sub_agent.debug() 返回的 trace 中，prompt 字段始終顯示為 <encrypted>，而不是 base64 編碼字符串——避免開發(fā)者誤把“偽加密”當(dāng)真實(shí)防護(hù)。

真正堵住 Prompt 泄露的三處高危缺口

此前 Agent 系統(tǒng)中最常被忽視的泄露點(diǎn)：

• 日志服務(wù)（如 Datadog/Loki）記錄原始 input.prompt
• 編排層（如 AutoGen GroupChatManager）轉(zhuǎn)發(fā)時(shí)明文透?jìng)?/li>
• 異常堆棧打印含完整 Prompt

Codex 這次升級(jí)直接在 SDK 入口攔截這三類行為：日志自動(dòng)脫敏、編排協(xié)議升級(jí)為 EncryptedInvocationMessage 格式、異常對(duì)象剝離 Prompt 字段并替換為哈希摘要。實(shí)測(cè)顯示，同一套金融風(fēng)控 Agent 接入新 SDK 后，PCI DSS 合規(guī)審計(jì)中 Prompt 暴露項(xiàng)從 7 項(xiàng)降至 0。

醫(yī)療與金融團(tuán)隊(duì)該立刻升級(jí)

某頭部保險(xiǎn)科技公司用 Codex 構(gòu)建核保 Agent 鏈：主 Agent 解析病歷文本，調(diào)用子 Agent 查詢醫(yī)保規(guī)則庫，再調(diào)用另一子 Agent 生成拒保理由。舊版本中，規(guī)則庫子 Agent 的調(diào)用日志曾意外上傳至 S3 調(diào)試桶，暴露 "if diagnosis_code == 'I25.6' then deny_cover" 這類業(yè)務(wù)邏輯。升級(jí)后，所有子調(diào)用日志只保留：

{
  "sub_id": "codex-sa-8a3f",
  "status": "success",
  "latency_ms": 42
}

敏感策略徹底不可見。這類保護(hù)在 FDA 21 CFR Part 11 或 GDPR 數(shù)據(jù)最小化原則下已是剛需。

不是“更安全”，而是重構(gòu)信任邊界

傳統(tǒng)方案（比如用 Pydantic BaseModel 包裝 Prompt + 手動(dòng)加密）要求開發(fā)者在每個(gè) Agent 節(jié)點(diǎn)重復(fù)實(shí)現(xiàn)加解密、密鑰輪轉(zhuǎn)、錯(cuò)誤降級(jí)邏輯，極易因版本錯(cuò)配或異常分支遺漏導(dǎo)致裸奔。Codex 此次將 Prompt 視為一級(jí)敏感資產(chǎn)（類比 API Key），而非普通輸入?yún)?shù)——加密不再是可選中間件，而是調(diào)用原語的一部分。

這意味著：

• 跨團(tuán)隊(duì)協(xié)作時(shí)，下游子 Agent 開發(fā)者無需理解上游業(yè)務(wù)邏輯，只需信任加密信道
• 審計(jì)方無需審查 Prompt 內(nèi)容，只需驗(yàn)證 SubAgentRunner 版本與沙箱完整性證明

對(duì)龍蝦 / OpenClaw 生態(tài)的實(shí)際啟示

龍蝦 Agent 框架 v0.9.2 已同步適配 Codex EncryptedInvocation 協(xié)議，支持無縫接入經(jīng)加密加固的 Codex 子智能體；OpenClaw CLI 新增 oc inspect --decrypt 命令（需綁定開發(fā)者私鑰），供調(diào)試時(shí)本地還原 Prompt——但生產(chǎn)環(huán)境禁止此操作。

m.lvxe.net.cn 持續(xù)追蹤此類底層安全演進(jìn)：從 Claude 4 的 system prompt 硬隔離，到 Gemini 2.5 的 token 級(jí)訪問控制，再到 Codex 子智能體的端到端 Prompt 加密，全棧 AI 安全正從“靠自覺”轉(zhuǎn)向“靠架構(gòu)”。

立即行動(dòng)：檢查項(xiàng)目中 pip show openai 版本，若低于 1.38.0，運(yùn)行：

pip install --upgrade openai>=1.38.0

然后驗(yàn)證 sub_agent.invoke() 返回 trace 中 prompt 字段是否為 <encrypted>。所有依賴 Codex 子智能體的生產(chǎn) Agent，建議在 CI 中加入加密斷言測(cè)試。m.lvxe.net.cn 每日更新 Claude/GPT/Gemini/DeepSeek/Llama 及龍蝦/OpenClaw/Cursor 等全棧 AI 技術(shù)動(dòng)向——硬核細(xì)節(jié)，無水分。