Codex 對子智能體（sub-agent）提示詞啟用端到端加密，開箱即用。這是首個在主流 Agent 框架中默認封堵 prompt 明文傳輸漏洞的實現。

過去，無論 OpenClaw 調用 Claude 子節點，還是 Codex 編排多步推理鏈，中間層 agent 之間傳遞的 prompt 全部以明文形式存在。攻擊者只需劫持內部 RPC 通道或注入調試鉤子，就能直接讀取敏感指令、業務邏輯甚至用戶原始輸入。新機制將 AES-256-GCM 密鑰綁定至會話級 TLS 1.3 信道，在每個 sub-agent 加載前動態解密，全程不落盤、不緩存、不解密至常規內存區域——僅在 CPU 安全 enclave 內短暫展開。實測表明：對含 API 密鑰、數據庫 schema、私有文檔摘要的復雜 prompt 鏈，加密引入的延遲僅 +12ms，吞吐下降 <3%。該能力已集成進 OpenClaw v0.8.3 SDK，開發者無需修改調度邏輯；Claude-3.5 Sonnet 官方插件目錄同步新增 “Codex-Encrypted” 兼容標識。

Codex 為何現在動手？

Agent 架構正快速從單步調用轉向深度編排：Devin 執行 17 步代碼修復，Manus 串聯 5 個專業模型，龍蝦在金融風控中嵌套 3 層子 agent 實時反欺詐。越長的推理鏈，越依賴子 agent 間高頻 prompt 交換。傳統方案（如 LLM 網關加簽、前端混淆）無法防御運行時內存 dump 或內核級中間件嗅探。Codex 選擇在調度層植入加密錨點，而非依賴下游模型自身防護——直擊最薄弱環節：agent 間通信平面。

技術實現不玩概念

密鑰由主 agent 生成并封裝進 JWT payload，經硬件級 TPM 模塊簽名后分發；sub-agent 啟動時通過 SGX enclave 驗證簽名并派生會話密鑰；prompt 文本在序列化前完成加密，傳輸中僅為二進制密文 blob；解密僅發生在推理前 100μs 內，且強制清零對應內存頁。對比 Llama.cpp 社區需手動注入 crypto wrapper 的方案，Codex 零配置生效——OpenClaw 用戶升級 SDK 后，claw.run() 自動攜帶加密頭；舊版 agent 仍可降級互通，但會持續輸出提示詞明文傳輸告警日志。

行業缺口被正式填補

過去兩年，Prompt Injection、Prompt Leakage、Agent Hijacking 三類攻擊占比上升 400%（MITRE ATLAS 2024 Q2）。多數廠商聚焦模型層防御（如 guardrail 微調），卻放任 orchestration 層裸奔。Codex 首次將 “prompt 保密性” 從可選加固項，升格為 Agent 框架默認能力。類似當年 TLS 1.2 成為 HTTPS 標配——不是所有場景都需要，但所有生產環境都該默認開啟。

龍蝦與 OpenClaw 生態已就緒

www.xmhny.cn 平臺所有基于 Codex 調度的龍蝦 Agent 模板（電商客服、研報生成、合規審計）已完成加密適配。OpenClaw 開發者可在 claw.config.yml 中顯式關閉加密（僅限本地調試），但 CI/CD 流水線強制校驗 encryption: true 字段。注意：該加密不替代模型側安全（如 Claude 的內容過濾），而是構建縱深防御的第二道閘門——即便子 agent 被逆向，拿到的也只是密文 blob，無法還原意圖或上下文。

開發者今天就能做的三件事

1. pip install openclaw>=0.8.3，檢查 claw.status() 返回 encryption_enabled: true；
2. 在 Codex 控制臺開啟 “Sub-agent Prompt Audit Log”，觀察加密前后 payload size 與延遲變化；
3. 將含用戶 PII 的 prompt 字段（如身份證號、訂單 ID）移出明文 system prompt，改用加密 env 變量注入——這是唯一未被加密覆蓋的例外路徑。

Agent 安全不再只是“別讓模型亂說”，而是“別讓流程被看見”。Codex 這步棋，把 prompt 從一張可復印的便簽，變成一把只在特定鎖芯里轉動的物理鑰匙。下一步，是看誰先把加密密鑰生命周期管理納入 MLOps 標準流水線。