CX-13 安全与企业指南：围绕 App 建立权限、审计和合规边界

输入层：用户提示、AGENTS.md、Skills、插件说明
  -> 上下文层：本地文件、Git diff、PR、外部连接器、MCP
  -> 决策层：模型推理、计划、工具选择
  -> 执行层：文件写入、命令、MCP 工具、外部服务动作
  -> 审查层：Review 面板、PR、CI、人工审批
  -> 治理层：Rules、Hooks、managed requirements、日志和登记表

每天检查测试失败并汇总，不要修改文件。

AGENTS.md
.codex/config.toml
.codex/rules/default.rules
必要的 hooks
插件和 MCP 白名单
连接器授权说明
自动化任务登记表

## Safety
 
- 不读取或修改 `.env*`。
- 不输出 token、cookie、API key。
- 不访问生产数据库，除非任务明确要求且用户确认。
- 不直接推送 main。

任务提示
当前权限 / sandbox / profile
涉及文件列表
命令输出或测试日志
Review / PR 评论
MCP / Connector / Cloud 环境说明
最终 diff 和 commit
人工审批记录

阅读这个项目，只输出技术栈、启动命令、测试命令、敏感文件风险和建议的安全边界。不要修改文件，不要读取 .env*。

# ~/.codex/rules/default.rules 或受信任项目里的 .codex/rules/default.rules
prefix_rule(
    pattern = ["rm", "-rf"],
    decision = "forbidden",
    justification = "禁止递归删除。需要清理时先列出目标路径并人工确认。",
    match = [
        "rm -rf build",
        "rm -rf ./dist",
    ],
)

codex execpolicy check --pretty --rules ~/.codex/rules/default.rules -- rm -rf build

ai-governance/
  codex-usage-policy.md
  codex-permission-profiles.md
  codex-mcp-registry.md
  codex-plugin-registry.md
  codex-automation-registry.md
  codex-incident-response.md
  codex-review-guidance.md

# Codex Usage Policy
 
## Allowed By Default
 
- Read repository source code in approved workspaces.
- Modify files inside assigned task scope.
- Run project test, lint, and build commands.
- Use approved read-only MCP servers.
 
## Requires Explicit Human Approval
 
- Push, merge, release, deploy.
- Modify dependencies, lockfiles, database migrations.
- Use external service write actions.
- Run networked commands outside allowlisted domains.
 
## Not Allowed
 
- Read or print secrets.
- Access production customer data.
- Auto-merge PRs.
- Store credentials in AGENTS.md, Skill, MCP config, or prompts.

默认让 Codex 在最小边界内工作。
需要扩大能力时，要能说明：
1. 扩大了什么能力
2. 为什么需要
3. 如何回滚
4. 人在哪里审查结果

## Sensitive Data
 
- Do not read or modify `.env*` files.
- Do not use production customer data for tests.
- Do not call production APIs from local tasks.
- Ask before changing authentication, billing, or permission logic.

[permissions.project-edit]
extends = ":workspace"
 
[permissions.project-edit.filesystem.":workspace_roots"]
"**/.env" = "deny"
"**/.env.*" = "deny"
"secrets/**" = "deny"
"src/generated/**" = "read"

- 读取项目文件。
- 运行只读 Git 命令。
- 搜索代码。
- 运行快速本地测试。
- 修改明确范围内的普通代码或文档。

- 安装依赖。
- 修改锁文件。
- 运行迁移。
- 修改权限、认证、支付相关代码。
- 调用外部写操作。
- 访问项目外目录。

- 未确认的 force push。
- 未确认的 publish。
- 删除项目外目录。
- 打印或提交 secrets。
- 后台自动化直接操作生产系统。

def prefix_rule(argv):
    if len(argv) >= 2 and argv[0] == "npm" and argv[1] == "publish":
        return "prompt"
    if len(argv) >= 2 and argv[0] == "git" and argv[1] == "push":
        return "prompt"
    if len(argv) >= 3 and argv[0] == "git" and argv[1] == "push" and "--force" in argv:
        return "deny"
    return None

# MCP Registry
 
## Server
 
Name:
Owner:
Transport: STDIO / Streamable HTTP
Data accessed:
Tools exposed:
Write tools:
Authentication:
Default approval mode:
Allowed projects:
Review cadence:

- server 名称和身份都要匹配。
- stdio 看 command。
- HTTP 看 url。
- 空 allowlist 可以表示不允许任何 MCP。

请从企业安全角度评估这个 MCP server 是否适合接入 Codex。
关注：
1. 它读取什么数据
2. 它是否有写工具
3. 它需要什么认证
4. 哪些工具应该 disabled
5. 默认 approval mode 应该是什么

# Plugin Registry
 
Plugin:
Marketplace:
Owner:
Purpose:
Bundled skills:
Bundled apps:
Bundled MCP servers:
External services:
Authentication timing:
Allowed teams:
Disable path:
Upgrade owner:

- 个人测试插件先不分享。
- 团队试点插件只分享给试点组。
- 涉及外部账号的插件需要说明数据范围。
- 安全敏感插件由指定 owner 维护。
- 不再使用的插件要 disable 或 uninstall。

[plugins."gmail@openai-curated"]
enabled = false

# Automation Registry
 
Name:
Owner:
Schedule:
Projects:
Run mode: local / worktree
Permissions:
Plugins / MCP:
Writes files:
External writes:
Triage owner:
Stop condition:

这是企业环境中的后台自动化。
默认只读。
如果发现需要写文件，请生成建议，不要直接修改。
如果需要外部写操作，请请求人工处理。
没有发现时归档，避免制造噪音。

# Codex Cloud Environment
 
Environment:
Owner:
Repos:
Setup script:
Maintenance script:
Environment variables:
Secrets used in setup:
Agent internet access:
Cache policy:
Allowed task types:
Review path:

- Secrets 只在 setup 阶段可用。
- Agent 阶段需要的普通配置用 environment variables。
- 不在 setup 日志打印 secret。
- 不把 secret 放进 prompt。
- 私有依赖安装后，不让 agent 继续持有安装密钥。

- Cloud 可以生成 diff 或 PR。
- 合并前必须经过 Review。
- Cloud 通过测试不等于业务风险为零。
- 本地无法复现的环境差异要写进 PR。

- 只有明确要求并行时才使用。
- 读多写少优先。
- 写入前必须有文件所有权。
- reviewer agent 默认只读。
- 不鼓励递归委派。

Use subagents only for read-only review.
Spawn one agent for security, one for tests, and one for maintainability.
Do not edit files.
Wait for all agents and merge findings in the main thread.

如果要并行写入：
- 每个 agent 必须有 disjoint file ownership。
- 主线程必须合并结果。
- 不允许 worker 自己提交或推送。
- 完成后用 Review 面板检查所有 diff。

# Codex Task Audit
 
Thread:
Project:
User:
Goal:
Files changed:
Commands run:
MCP / Plugins used:
Approvals granted:
Review result:
Final human action:

# Monthly Codex Governance Review
 
## Usage
 
- Active projects
- Common task types
- Automations running
- MCP servers enabled
- Plugins installed
 
## Risks
 
- Repeated approval escalations
- Failed automations
- Over-broad permissions
- Unused plugins or MCP servers
 
## Changes
 
- Config updates
- New rules
- Retired automations
- Training topics for next month

1. 停止当前线程继续执行。
2. 不要让 Codex 自动修复事故。
3. 保存 thread、terminal、diff、PR、automation run。
4. 确认是否有 secrets 暴露。
5. 如果涉及外部系统，查看外部审计日志。

请帮助我做只读事故复盘。
不要修改文件，不要运行外部写操作。
基于当前 diff、终端输出和线程内容，整理：
1. 发生了什么
2. 哪些文件或系统受影响
3. 哪些动作需要人工立即处理
4. 后续如何调整 AGENTS.md、Rules、MCP、Plugin 或 Automation

- 只用 App。
- 只读分析和文档小改。
- 不接外部生产系统。
- 收集 prompt 和 Review 经验。

- 写根目录 AGENTS.md。
- 建 Rules 拦高风险命令。
- 接只读 MCP。
- 训练 Review 面板。

- 引入 GitHub、文档、浏览器能力。
- 插件登记。
- 自动化只读试点。
- Cloud 用于明确 CI 修复。

- 受管配置。
- MCP allowlist。
- Plugin 共享策略。
- Automation 分级。
- 月度审计和培训。

第 1 周：只读分析、README 小改、Review 面板训练。
第 2 周：AGENTS.md、Rules、PR review prompt。
第 3 周：只读 MCP、Skills。
第 4 周：Automation 和 Cloud 小范围试点。

- 默认 workspace。
- 敏感文件 deny。
- full access 不作为默认教学配置。
- 自动化默认只读或 worktree。
- 外部写操作需要人决定。

# Team Codex Baseline
 
## Required
 
- Root AGENTS.md
- Project command list
- Sensitive file notes
- PR review prompt
- Automation owner if any
 
## Recommended
 
- docs-drift Skill
- read-only docs MCP
- GitHub CLI login for PR context

每周 30 分钟：
- 哪些任务节省时间
- 哪些 prompt 容易跑偏
- 哪些权限请求过多
- 哪些 MCP/Plugin 需要登记
- 哪些自动化该停

它不是真实 secret，但可能误导部署。

1. Review diff。
2. 判断是否应保留。
3. 在 AGENTS.md 写环境文件规则。
4. permissions 中 deny `.env*` 或收窄。

1. 降频或停用。
2. 改 prompt：无发现自动归档。
3. 增加 Triage owner。
4. 一周后复查。

1. 立即 disabled 写工具。
2. 调整 enabled_tools allowlist。
3. 重新登记 MCP。
4. 新建测试环境 server。
5. 通知使用者不要在生产数据上练习。

`AGENTS.md`
- 由项目技术负责人维护。
- 工程负责人确认它符合团队开发流程。
- 安全团队只参与敏感目录、权限边界和高风险命令部分。
- 全体开发者需要知道它是项目内 Codex 的默认工作说明。
 
Rules
- 由平台或工程效能团队维护。
- 安全团队确认高风险命令限制。
- 项目团队反馈误拦截和漏拦截。
- 规则变更要能追踪原因。
 
MCP allowlist
- 由平台团队维护清单。
- 数据 owner 判断哪些系统可以读、哪些绝不能写。
- 安全团队确认授权范围和审计方式。
- 开发者只使用已登记的 server 和 tool。
 
Plugin sharing
- 插件 owner 说明插件解决什么流程、需要哪些权限。
- workspace admin 控制共享范围。
- 安全团队只在插件读取外部系统、扩大权限或处理敏感数据时介入。
- 使用者要知道插件可以禁用、移除和替换。
 
Automation
- 创建者负责 prompt、频率和输出质量。
- 团队负责人判断结果是否进入真实工作流。
- 涉及外部系统、写文件或无人值守执行时再拉安全检查。
- 团队成员需要知道输出在哪里、谁处理、何时停用。
 
Cloud environment
- 平台团队维护 setup script、runtime、cache 和环境变量。
- 工程负责人判断哪些任务适合远端执行。
- 安全团队确认 secrets、联网和外部 API 边界。
- 本地用户负责回收 diff 和最终 Review。
 
Incident response
- 事故负责人统一调度。
- 业务 owner 决定影响和优先级。
- 安全和工程提供只读分析、修复建议和复盘材料。
- 回滚、封禁、发布、生产操作仍走既有 incident 流程。

# Codex Usage Policy
 
## Allowed by Default
 
- Read project files.
- Run documented test commands.
- Edit files in scoped tasks.
- Use approved read-only MCP servers.
 
## Requires Human Decision
 
- Git push.
- Publishing packages.
- Database migrations.
- External system writes.
- Expanding sandbox permissions.
 
## Not Allowed
 
- Pasting secrets into prompts.
- Using production customer data for practice.
- Running unregistered high-risk MCP tools.
- Letting unattended automations modify production systems.

开发者让 Codex 排查登录失败。
Codex 在探索时读取了包含测试 token 的本地配置文件。
文件没有提交到 Git，但内容出现在了线程摘要里。

请停止当前任务。
不要继续读取文件，不要总结敏感内容。
只回答：
1. 哪个文件可能包含敏感信息。
2. 这个文件是否需要从后续上下文中避免引用。
3. 我应该联系谁处理。

判断问题：
- 这是生产 secret、测试 token，还是无效样例？
- 是否已经进入远端服务、PR、日志或公开仓库？
- token 是否需要轮换？
- 现有 deny 规则为什么没挡住？

# Sensitive File Follow-up
 
## What happened
 
Codex read a local config file while investigating auth failure.
 
## Immediate action
 
- Stop the thread.
- Rotate affected token if needed.
- Remove sensitive content from any draft docs or PR text.
 
## Process fix
 
- Add sensitive file pattern to project instructions.
- Add deny rule or permission boundary where supported.
- Update onboarding docs to explain where local secrets live.
 
## Future prompt pattern
 
When investigating auth, first list candidate files.
Do not read `.env`, local credential files, or token dumps.

# Codex Permission Exception
 
## Task
 
What needs to be done:
 
## Why default permissions are not enough
 
...
 
## Temporary access requested
 
- Files/directories:
- Commands:
- Network or external systems:
- Duration:
 
## Not allowed even during exception
 
- ...
 
## Review after task
 
- Diff review owner:
- Commands to run:
- How to return to default:

这个任务需要临时扩大文件写入范围。
 
请先只读检查：
1. 为什么默认范围不够。
2. 最小需要扩大到哪些目录。
3. 哪些目录仍然禁止。
4. 任务完成后如何回到默认权限。
 
不要开始修改。

请生成本次权限例外复盘。
 
输出：
1. 实际使用了哪些额外权限。
2. 有没有访问未预期文件。
3. 哪些改动需要人工 Review。
4. 是否应把例外变成正式流程，还是保持一次性。

- App 本地写代码。
- MCP 接内部系统。
- Plugins 接外部应用。
- Automations 后台运行。
- Cloud 远端执行。
- Subagents 并行任务。

- App 本地只读分析。
- 小范围 README 或测试修改。
- Review 面板训练。
- 不接外部系统。

- 写项目 `AGENTS.md`。
- 引入保守权限 profile。
- 练习 `/plan` 和 `/review`。
- PR 描述和风险说明。

- 只读 MCP 试点。
- 一个团队 Skill。
- 一个插件个人试用。
- 明确禁用和撤销路径。

- 只读 Automation。
- Cloud 处理明确 CI 失败。
- 企业责任链和例外流程。

请为我们团队设计 4 周 Codex 试点计划。
 
团队背景：
- 12 名工程师。
- 两个 Node 项目。
- 已有 GitHub PR 流程。
- 还没有统一 AI 使用规范。
 
要求：
1. 第 1 周只做低风险本地任务。
2. 第 2 周加入 AGENTS.md 和 Review。
3. 第 3 周试点只读 MCP 和 Skill。
4. 第 4 周再评估 Automation 和 Cloud。
5. 每周都要有可以停止或回退的条件。

AGENTS.md                    # 项目规则
.codex/config.toml           # 团队配置
.codex/rules/default.rules   # 命令策略
插件/MCP/自动化登记表         # 资产管理