AI 排障翻车复盘:Codex 沙箱 ACL 的视野盲区

Fri, 09 Oct 2026 08:00:00 +0800

日期: 2026-10-09 机器: 工作机(Windows 26H1,企业终端管控软件管控) 关联场景: 同期的 AI 协作与终端加固讨论

一、事件档案

1.1 症状(今天集中爆发)

双击打开桌面程序弹"打开文件 - 安全警告:无法验证发布者"(微软签名的记事本副本也弹);
程序图标全部变白页;
移动/编辑/压缩用户目录下的文件也弹确认框;
部分程序点击"运行"后仍无法正常打开。

1.2 真实根因(实测确认)

Codex 系 AI 编码工具的 Windows 沙箱,把它的 ACL 模板套在了整个 %USERPROFILE%\Desktop 目录树上。

桌面文件夹上被写入的非标准安全描述符:

Everyone:(DENY)(DC)                              ← 拒绝删除
S-1-4-<本地标识>:(OI)(CI)(W,D,DC)      ← 非标准 SID 获写/删除权
<机器名>\CodexSandboxUsers:(OI)(CI)(RX)   ← Codex 沙箱组
Mandatory Label\Low Mandatory Level:(OI)(CI)(NW) ← 低完整性标签,继承给全部子文件

关键机制链:

文件被继承打上 Low Mandatory Level(低完整性)标签 → Windows 沿用 IE 保护模式时代的信任语义,把低完整性文件视为"来自互联网的不可信来源" → Explorer 对这些文件的启动一律走附件管理器警告(“无法验证发布者”,签名有效也无效), 不加载内容图标(白页),移动/压缩等操作也弹确认。

完整因果链的每一环都由此闭环:为什么签名无效、为什么图标变白、为什么只有 C 盘用户目录触发(只有桌面树被套模板,TEMP/用户根/D 盘标签正常)、为什么移动文件也弹。

1.3 时间线

时间	事件
2026-09-16 18:29	CodexSandboxOffline/Online 沙箱账号创建(Codex 系工具入驻本机)
无日志可查	某次以桌面为工作区的沙箱会话,将 ACL 模板套上桌面目录树
2026-10-08	症状集中爆发;同日机器重启 9 次(期间还在用 AI 工具排查,可能反复触发)
2026-10-08 晚	本轮排障,定位并修复

1.4 叠加因素(独立事件,已顺手处理)

桌面另有 897 个带"网络下载标记"(Mark of the Web)的文档,移动/压缩时同样弹窗——Windows 原生行为,已批量解除锁定;
Snipaste"绑定快捷键失败"为故障会话残留状态,干净重启后自愈;
误诊期间曾怀疑该 EDR DLP(它确实向 Explorer 注入了钩子 DLL),最终证明与本症状无关——但注入事实本身值得另案记录。

1.5 修复动作

移除桌面文件夹上的 3 条沙箱 ACE + 完整性标签 Low→Medium(继承自动传播到全部子文件),重启 Explorer 刷新图标缓存。自动化终测:桌面 exe 直接启动、零弹窗。原 ACL 已备份至 Temp\desktop_acl_backup.txt。

如何搭建多 AI 工具的提示词架构(1)

Fri, 09 Oct 2026 08:00:00 +0800

日期: 2026-10-09

一、现场:一台机器上并存的四个 AI 王国

实测本机同时驻留四家 AI 编码工具,各自拥有独立的配置目录(dot-dir),互不统属:

dot-dir	工具	指令文件约定(勘误后修正)	目录里还有
~/.claude	Claude Code	~/.claude/CLAUDE.md	会话、缓存、settings
~/.codex	Codex CLI	~/.codex/AGENTS.md	auth、config.toml、日志
~/.dsh	DeepSeek harness	~/.dsh/AGENTS.md	profiles、sessions
~/.zcode	ZCode	~/.zcode/AGENTS.md(用户级,最先注入)+ 工作区向上扫描	会话流水、db、插件

两个实测观察:

观察一:文件名趋同,作用域割裂。 .codex 和 .dsh 里都有叫 AGENTS.md 的文件,但互不相通——“AGENTS.md"成了事实标准的文件名,阅读范围却是各家私有的。勘误补充:ZCode 官方指南证实它支持私有域,但GLM 5.3自己对自己的harness产品一开始理解错误. ~/.agents/skills|commands|mcp.json 兼容层,跨工具共享体系比初稿断言的"名存实亡"更完整,“割裂"仅对全局指令文件这一层成立。

观察二:dot-dir 是工具的"全部家当”。 以 .zcode 为例:会话流水(rollout/*.jsonl,长会话一天可涨数 MB)、结构化数据库、执行现场、图片缓存、插件、配置,实测 988 个文件。每个 dot-dir = 该工具的身份、记忆与状态的总和。

二、架构整理:共识层与角色层分离

四工具并存时,提示词内容天然分两类:

共识层:所有工具都该知道的事实——机器环境、网络规则、服务器、工作习惯、分工地图;
角色层:每家"你是谁、负责什么”——有意不同,不应镜像。

原状态是反面教材:共识与角色混在一份文件里,四家各持一份陈旧副本,彼此漂移。

对"跨工具标准"的准确表述:每家 harness 都有自己的配置约定,AGENTS.md 只是部分厂商采纳的兼容层。真实生态是:文件名事实趋同,阅读范围各家私有,共享靠人为桥接。

三、勘误与正解:ZCode 有用户级指令槽

Zcode初稿此处曾断言:“ZCode 没有自己的提示词目录,全局指令写死在 ~/AGENTS.md(home 根,所有会话共享的公共位置),其配置文件里没有任何指令路径的可配置项”,并"建议厂商提供 ~/.zcode/AGENTS.md"。发布后复读官方配置指南(zcode-guide 插件),证实该结论错误:

AI使用 on 鬼属文