網絡與憑據代理：模型看不見的那把鑰匙
出站要過幾道門。真 token 不進子進程。模型看見的是假值和一句 403。
- 拉起命令前，把真 token 換成同形狀假值credential_broker.rs L92
- 沙箱只放行代理端口，直連 loopback 到此為止seatbelt.rs L325
- 解析 host，deny 先判且恆勝runtime.rs L553
- 本地字面量沒有精確允許，按私有地址攔runtime.rs L578
- 域名解析到非公網，即便在名單裏也攔runtime.rs L582
- allowlist 為空或未命中，回 NotAllowedruntime.rs L598
- 只有 NotAllowed 才問決策器network_policy.rs L349
- Limited 下非 GET、HEAD、OPTIONS 就攔config.rs L311
- HTTPS 要看見內層方法，MITM 缺失就攔http_proxy.rs L312
- 請求頭帶着假值，才注入對應的真憑據mitm.rs L301
你讓模型去 GitHub 提一個 issue。它寫出 curl，環境裏有真 token。下一秒域名換成 evil.example，或者打到 169.254.169.254。只攔「不在名單裏的域名」，deny 條目和內網地址會漏。空名單若預設放行，忘寫配置等於全開。
判定順序寫死。先 deny，再本地或私有，最後 allowlist。空名單和沒命中，都攔。決策器只能翻 allowlist 漏掉的案，翻不了 denylist，也翻不了本地網段。
出處：codex-rs/network-proxy/src/runtime.rs 第 549 至 552 行；codex-rs/network-proxy/src/network_policy.rs 第 346 至 378 行；codex-rs/network-proxy/README.md 第 161 至 162 行
*.example.com 不含 apex，**.example.com 才含。解析到私有 IP 的域名，精確寫進名單也攔。本地字面量要精確寫上 localhost 或 127.0.0.1，通配 * 不算。
出處：codex-rs/network-proxy/src/policy.rs 第 321 至 331 行；codex-rs/network-proxy/src/runtime.rs 第 1028 至 1043 行
被攔時回給命令進程 403，頭是 x-proxy-error，正文是一句人話。not_allowed 和 not_allowed_local 對外都叫 blocked-by-allowlist，正文才能分開「不在名單」和「沙箱攔了本地」。這條 403 變成 exec 輸出喂回模型，採樣循環不會停。
出處：codex-rs/network-proxy/src/responses.rs 第 52 至 83 行
同一 pattern 既 allow 又 deny，有效值取大的。枚舉序是 None < Allow < Deny。
出處：codex-rs/network-proxy/src/config.rs 第 19 至 27 行
預設拒絕、deny 恆勝、內網要顯式開門，這是 SSRF 防護的通用形狀。換語言重寫，該問的還是同一組問題：沒寫名單時怎麼辦，衝突時誰贏，解析到內網的名字算不算放行。
token 跟着命令進 rollout。下一輪模型還能看見它，再下一輪可能進日誌。憑據一旦進入模型上下文，後面每一層脫敏都是補救。
拉起命令前，憑據經紀把 GH_TOKEN、OPENAI_API_KEY 換成同長度、同前綴的假值。模型若 printenv，看見的是假的。假值進上下文，對上游無用。
出處：codex-rs/network-proxy/src/credential_broker.rs 第 92 至 119 行
出站時 MITM 按 host 過濾。請求頭裏必須帶着假值，才換成真值。hook 的剝頭、注入發生在經紀之後，可以剝掉剛注入的 Authorization。用戶改過的環境值不還原。標記當不可信輸入。經紀只覆蓋 GitHub 和 OpenAI。
出處：codex-rs/network-proxy/src/mitm.rs 第 297 至 302 行
出網策略寫錯，模型還能憑 403 改主意。憑據進上下文，撤銷成本高。所以真值在 spawn 前拿走，回填發生在代理進程記憶體裏。假值保持形狀，是為了讓校驗格式的客戶端還能啓動。
Go 的 net/http 對 loopback 繞過 HTTP_PROXY。你以為流量進了代理，其實它直連 127.0.0.1。本地有管理口、docker socket。策略檔案寫了名單，請求根本沒走到那一層。
沙箱只放行代理端口。macOS 受限 Seatbelt 只寫 localhost:{port}。Linux 走 ProxyOnly。allow_local_binding 為假時，NO_PROXY 寫成空串，loopback 字面量也必須走代理。打開本地綁定等於承認 loopback 不再經過 allowlist。
出處：codex-rs/sandboxing/src/seatbelt.rs 第 309 至 336 行；codex-rs/network-proxy/src/proxy.rs 第 450 至 460 行
應用層代理擋不住不肯走代理的客戶端。下一層必須是操作系統或防火牆，只留一個口。三道門疊在一起才構成託管網絡。單獨一道都擋不住另一道漏掉的面。
Grok：閥門在工具入口，loopback 預設放行
Grok 的 web_fetch 在工具內部做域名名單和解析後 IP 檢查。空名單攔所有 URL，和 Codex 的 allowlist-first 同方向。path 還可以寫成前綴，收窄到某一段文檔。
SSRF 檢查攔 RFC1918、link-local、CGNAT。loopback 明確放行，註釋寫 local development。bash 裏的 curl 不走這張名單。Codex 把閥門放在所有子進程出口，所以要和沙箱綁在一起。
web_fetch/domain.rs 第 110 至 144 行；web_fetch/ssrf.rs 第 17 至 19 行
DSH：配置只存變數名，spawn 時按鍵名擦環境
DSH 把密鑰做成引用。設定檔只帶環境變數名，provider 在每次操作時 resolve。配置表面從不看見值。
子進程另有一層擦除。名字像 KEY、TOKEN 的鍵和所有 DSH_* 會被丟掉。它擋得住配置檔案裏出現真值。模型若還能 printenv，除非 spawn 用了這層擦除，環境裏仍可能有真 token。
packages/credentials/credentials/src/index.ts 第 1 至 7 行；packages/subprocess/subprocess/src/index.ts 第 60 至 66 行 · DSH · 憑據每次現取
星號放行 localhost 嗎
allow_local_binding = false，allowlist 只有 *。對 127.0.0.1 調一次判定，期望是什麼。對公網 IP 8.8.8.8 再調一次，期望又是什麼。
提示：本地字面量拒絕通配。allowlist 編譯顯式允許全局 *，denylist 編譯拒絕它。