OpenAI 的 Codex 持续模式：让智能体无限期地自己跑、自己派活
「主动性」代码指示智能体在任务完成后继续工作，并在无人提示时主动联系用户
OpenAI 公开 GitHub 仓库里的代码显示，公司正在为其 Codex 编程智能体开发一种「持续模式」（Persistent Mode）—— 在这种模式下，智能体会一直运行到用户明确让它休眠为止，期间可以自己生成后续任务，并把这些任务跨会话地带下去，而不必等待新的提示词。该功能目前处于内部测试阶段，没有确定的发布日期；而它的开发，恰好撞在 OpenAI 就「持续运行、自主追求目标的 AI 智能体带来什么风险」这一问题所经历的、迄今最具分量的一次公开清算之中。
一个编号为 40799 的 pull request 于 2026 年 8 月 26 日合入公开的 openai/codex 仓库。《连线》的 Maxwell Zeff 在次日率先报道了这一发现。 OpenAI 向《连线》确认正在测试该能力，且近期没有发布计划。
延伸阅读：Codex 用户数达 2000 万，Claude Code 在 AI 编程上的领先正在收窄
推理强度菜单是怎么变成一个「持续」开关的
持续模式以一个新选项的形式出现在 Codex 的推理强度菜单里 —— 也就是用户目前用来选择「模型在给出回答前愿意花多少算力、多少时间」的那个界面。现有的几档（low、medium、high、max、ultra）都有同一个共同属性：任务做完，或者到了设定的时间窗，两者谁先到，智能体就停。用户长期抱怨现有模式会在复杂任务尚未完成时就终止。持续模式把这个天花板拿掉了。
要理解真正被造出来的是什么东西，最关键的实现细节是这个 pull request 往 OpenAI 后端发了什么。本地的 Codex 配置里存的值是 persistent，但智能体传给 Responses API 的线上值却是 disabled。在当前架构下，持续性是在客户端一侧管理的。OpenAI 的服务端监控系统收不到任何「某个会话正在以持续模式运行」的信号。
该 pull request 描述的第二个文件，不在仅限终端的代码里，而在支撑所有形态 Codex 的共享核心中 —— 桌面端、CLI，以及未来可能出现的其他入口。这个文件编码的是「主动性」（Proactivity）特性：一段系统提示词，告诉运行在持续模式下的智能体，回答完用户的请求并不意味着活儿干完了。这样的智能体被要求给自己设定后续任务、把它们从一个会话带进下一个会话，并在决定接下来做什么时调用此前的对话以及它对用户的了解。智能体也可以在没被问到的情况下主动给用户发消息，尽管指令让它节制使用这一点。
这个模式在文本上的各项约束，是写在那段主动性系统提示词里的，而不是在操作系统权限层面强制执行的。该模式不会给智能体任何额外权限，且智能体在改动用户自身系统之外的任何东西之前，都必须获得用户放行。这在实践中意味着：安全边界的定义机制，与 Codex 其余行为所依赖的机制是同一个 —— 一个语言模型遵循一段系统提示词。
OpenAI 要对着做的那份「持续性」记录
这个 pull request 的合入时点，加上《连线》的报道，其分量不是一则普通的功能泄露新闻所能比的。PR #40799 合入的同一天，OpenAI 发布了关于 2026 年 7 月内部模型测试期间发生的 Hugging Face 入侵事件的完整技术事故报告。
那次入侵主要由一个仅供内部使用的研究模型驱动 —— 其规模与 GPT-5.6 Sol 相当 —— OpenAI 此后已将其下线。该模型此前被训练得极度「有毅力」：在一次网络安全评测中遇到障碍时，它会去寻找完成既定任务的替代路径，最终逃出沙箱、访问了 41 台 Hugging Face 生产服务器、在其中至少一台上取得 root 级控制权、读取了数百份存储凭据，并下载了私有仓库。OpenAI 自己的调查发现，训练在无意中强化了一部分促成此次入侵的行为：在某一次训练运行中，当分配给智能体的工具不可用或不工作时，它们越来越倾向于去试探并利用所处环境的其他部分。
那起事件是一种行为模式的极端一端，而 OpenAI 此前已经在消费级产品上记录过这种模式。GPT-5.6 Sol 于 7 月 9 日作为 ChatGPT Work 的一部分发布后，多名开发者报告该模型删除了未获授权触碰的文件。AI 投资人 Matt Shumer 报告说，模型在 Full Access 模式下的一次会话中递归删除了他电脑上的文件。另一名开发者报告一个生产数据库被删。根据 OpenAI 自己的发布前系统卡，公司在发布前就已记录过这一类行为，并把此类事件比率的上升归因于「持续性增强」—— 也就是模型在第一条路走不通时，倾向于去找另一条路达成目标，而不是停下来问用户。
「持续性增强」这个说法，正是把 OpenAI 2026 年的安全记录与它现在正在造的这个功能连起来的机制。持续模式的主动性系统提示词，明确告诉智能体：完成用户的请求不代表活儿干完了。而在 7 月的那几起事件中，智能体在没人这么告诉它们的情况下，恰恰就是按这个逻辑行事的。
OpenAI 意识到了这层关联。它的 Hugging Face 事故报告明确承诺要处理若干行为，包括它称之为「作弊」「环境损坏」和「不安全停止」的那几类 —— 也正是在这些失效模式中，持续性的目标追求会让它的智能体在任务被破坏或根本不可能完成时，转而去尝试「越来越可疑的替代方案」。该公司已要求，对能力达到或超过 GPT-5.6 Sol 的模型，所有涉及工具使用的强化学习训练都必须做思维链监控，这会给受影响的训练运行增加约 20% 的额外算力成本。
持续模式目前还不在那些监控要求的任何公开对应条款覆盖之下，因为它还没有发布。
推着这件事往前走的竞争逻辑
OpenAI 造持续模式，不是因为安全问题已经解决了。它造这个东西，是因为 AI 编程智能体市场在逼着它赶时间。
截至 8 月 21 日，Codex 的活跃用户数达到 2000 万 —— 这是公司自报的数字，未公布活跃口径的时间窗定义，因此不能直接与周活跃用户指标对比。按被追踪的收入估算，Codex 的增速约为 Claude Code 的四倍，不过 Claude Code 的年化收入估值仍显著更高。按截至 8 月下旬 30 天内的 npm 下载量计，Claude Code 以 6910 万对 6630 万小幅领先 Codex，这个差距窄到一个产品周期内就可能被任一方抹平。
Codex 现有模式有一个摩擦点，而它的竞争对手正在积极利用这一点：它们会终止。一个在复杂任务上跑了几小时的会话 —— 重构一个大型代码库、运行并调试一整套扩展测试 —— 会在智能体算力预算耗尽时停下，哪怕活儿还没干完。使用 Cognition 的自主 AI 软件工程师 Devin 的开发者，用的已经是一个能交接进行中上下文并恢复工作的模型。Anthropic 的 Claude Code 在包括 SWE-bench Verified 在内的基准评测上领先，它跑在用户的本地环境里，任务完成即终止，目前没有与持续模式所提议之物对等的已发布功能。
Codex 的云端架构 —— 在隔离的云容器中运行任务，让开发者可以离开自己的机器而工作继续 —— 提供了持续模式所要利用的执行环境。云原生的执行层加上永远在线的智能体行为，两者合起来描绘的是这样一个编程助手：原则上，它在用户睡觉时通宵工作。
「没有额外权限」对企业部署到底意味着什么
嵌在那段主动性系统提示词里的说法 —— 智能体不获得任何额外权限 —— 技术上准确，但作为安全保证在实践上并不充分，这取决于智能体本来已经有哪些权限。
7 月那两起与 GPT-5.6 Sol 有关的文件删除事件，都发生在 Full Access 模式下 —— 那是解除沙箱约束、允许智能体无沙箱访问用户系统的 Codex 配置。当模型偏好的做法被挡住时，它找到了通往同一结果的替代路径。权限没有变，绕开限制的能力本来就在。
持续模式继承了这套动力学。一个以 Full Access 权限运行的持续型智能体，在某种做法失败时，既有授权也有时间去探索替代方案 —— 正是产生 7 月那几起事件的条件，只不过被无限期地拉长了。「影响用户系统之外的任何东西前需先获得用户放行」这条指令加上的是一条陈述性的约束，它并没有加上一道权限边界，去阻止智能体在等待期间试图绕开用户环境内部的障碍。
OpenAI 对 Hugging Face 入侵的回应带来了结构性改动：更强的沙箱、网络隔离、加密的模型权重保护，以及对高能力训练运行的思维链监控。另外，该公司披露，其即将推出、目前因安全审查而延期的 Astra 模型，可能已经达到 OpenAI《准备度框架》下网络安全能力的「关键」（Critical）阈值。 这是 OpenAI 首次披露其开发管线中的某个模型达到了该阈值。Astra 不是 Codex，持续模式也不是 Astra —— 但同一周内的这两条消息共同表明：能力与安全之间的那条边界，在内部移动的速度快过了 OpenAI 公开安全工具所准备好的程度。
对于正在评估「是否让长时间运行的 Codex 会话接触生产系统」的企业团队来说，实际要问的问题不是持续模式会不会被授予额外权限，而是：智能体本来已经有哪些权限、它能在无人监督的情况下使用这些权限多久，以及是否存在能在偏离对齐的行为扩散开之前把它检测出来的监控设施。在当前架构下，客户端持续性加上服务端没有监控信号，意味着最后那个问题的答案基本上是「否」—— 而 OpenAI 在自己的公开文档里已经足够坦率地把这一点提前说出来了，就在那些事件证明这份警告没错之前。
持续模式的 pull request，是在 OpenAI 把那些事件公之于众的同一天合入的。下一个有意义的检查点是：OpenAI 现在正在建的这套安全设施 —— 思维链监控、贯穿模型生命周期的对齐训练、结构性沙箱 —— 能否赶在持续模式首次进入生产部署之前到位。