Separe secretos de configuración de variables del agente

01

Nombre las fases antes de elegir un tipo de valor

Codex cloud crea un contenedor, extrae el repositorio seleccionado, ejecuta la configuración y luego comienza la fase del agente. La documentación actual dice que la configuración tiene acceso a internet mientras que el acceso a internet del agente está desactivado por defecto a menos que se configure. El propietario del entorno debe entender esa secuencia antes de suministrar credenciales.

Enumere por qué se necesita cada valor. Una credencial de dependencia privada usada durante la configuración tiene un propósito diferente de una bandera no sensible requerida durante toda la tarea. No haga un valor disponible para todo el chat simplemente porque sea conveniente leerlo desde el mismo nombre de variable en cada fase.

Contexto de la fuente: OpenAI: Entornos en la nube

02

Use la distinción de fases documentada

OpenAI documenta variables de entorno ordinarias como disponibles durante la configuración y la fase del agente. Documenta secretos como además cifrados y disponibles solo para scripts de configuración, con eliminación antes de la fase del agente. Registre qué mecanismo se seleccionó realmente en la configuración del entorno.

Los scripts de configuración también se ejecutan en una sesión de shell separada, por lo que una exportación realizada allí no persiste automáticamente en la fase del agente. Trate las elecciones de configuración, la herencia del shell y la disponibilidad de secretos como mecanismos diferentes. Esta página se refiere a Codex alojado, no a la prueba del entorno de proceso CLI local.

Contexto de la fuente: OpenAI: Entornos en la nube

03

Revise archivos y registros creados durante la configuración

Eliminar un secreto de una variable de entorno no es lo mismo que eliminar una copia que un paso de configuración escribió en un archivo de configuración, registro o artefacto generado. Revise esas salidas y las herramientas que las producen. Prefiera el enfoque soportado por la organización para dependencias privadas sin persistir credenciales innecesariamente.

Use el formulario de revisión de salida de configuración para registrar copias potenciales y sus propietarios. No escriba deliberadamente un secreto real en un archivo para probar si el agente puede encontrarlo. El ejemplo incluido describe un valor de configuración falso y una ruta de salida ficticia para que la decisión pueda discutirse sin crear una exposición de credenciales.

04

Use un registro de fase con valor falso

En un entorno desechable aprobado, un revisor puede registrar si un marcador inofensivo está disponible en cada fase. El paquete contiene una matriz estática de disponibilidad esperada y una hoja de observación en blanco; no ejecuta Codex, instala dependencias ni contacta a un proveedor. Mantenga cualquier evidencia para decisiones sobre presencia de marcadores en lugar de exportar contenidos del entorno.

Establezca la fuente configurada de cada valor antes de interpretar una ausencia. Si la variable falsa nunca se configuró, la ausencia del marcador en la fase del agente no demuestra el comportamiento de eliminación del secreto. Registre requisitos previos, fase, disponibilidad esperada y observación real por separado.

Contexto de la fuente: OpenAI: Entornos en la nube

05

Incluya inicios en caché en la aprobación

OpenAI documenta el estado en caché del contenedor y un script de mantenimiento opcional al reanudar. También describe la invalidación de caché cuando cambia la configuración del entorno. Una configuración inicial limpia y una tarea reanudada son observaciones de ciclo de vida diferentes, así que identifique si la prueba usó un entorno nuevo o en caché.

Cierre la revisión con los propósitos del valor, disponibilidad por fase, manejo de copias generadas y la decisión del propietario del entorno. Verifique nuevamente cuando cambien la configuración, el mantenimiento, las variables o los secretos. El resultado no aprueba un CLI local, un espacio de trabajo SSH remoto ni todos los futuros entornos que usen el mismo repositorio.

Contexto de la fuente: OpenAI: Entornos en la nube · OpenAI: Aprobaciones y seguridad de agentes