Codex 加密了 compaction，但 prompt 跟開源版幾乎一樣，那加密在保護什麼？

OpenAI 的 Codex CLI 對 codex 模型用加密 API 跑 context compaction，外部看不到裡面在做什麼。一位 X 用戶用 35 行 Python 把它拆開，發現用的 prompt 跟開源版本幾乎一樣，留下一個沒被回答的問題：加密到底是在保護什麼？ ⭐ 文章深度讀：拆開 Codex 加密路徑後，看 tool results 怎麼成為真正想保護的東西 → https://heymaibao.com/codex-compaction-prompts-nearly-identical/ ⚡ 章節重點 加密黑箱的工程矛盾 00:00 兩條完全不同的 compaction 路徑 01:35 兩段式 prompt injection 怎麼拆開加密 02:15 抽出來的 prompt 跟開源版幾乎一樣 03:20 那加密在保護什麼？真兇是 tool results 04:18 加密邊界不等於信任邊界 06:23 📝 懶人包 ∙ Codex CLI 對非 codex 模型用本地 LLM 跑 context compaction，prompt 全部公開在 GitHub。對 codex 模型則改呼叫加密的 `compact()` API，回傳一段 AES 加密的 blob。 ∙ 該作者用兩段式 prompt injection 把伺服器端的 compaction prompt 跟 handoff prompt 抽出來，跟開源版對照後發現幾乎一樣 (原文用的詞是 `nearly identical`)。他自承每次跑結果略有差異 (`Results vary across runs`)。 ∙ 真正沒被回答的是這個問題：既然 prompt 幾乎一樣，加密到底在保護什麼？作者推測加密 blob 可能還承載 tool results 的特殊處理，但他自己也沒進一步測試 (原文 `I didn't bother to test further`)。 ∙ 我的觀察：加密這層不太像在保護機密，比較像在保護「邊界」。真正可能藏在裡面、值得加密的，是 tool results 怎麼壓縮跟還原這套機制，不是 prompt 本身。 📚 參考資料 Investigating how Codex context compaction works → https://x.com/kangwook_lee/status/2028955292025962534