Séparer les secrets de configuration des variables de l’agent

01

Nommez les phases avant de choisir un type de valeur

Codex cloud crée un conteneur, récupère le dépôt sélectionné, exécute la configuration puis commence la phase agent. La documentation actuelle indique que la configuration a accès à Internet tandis que l’accès Internet de l’agent est désactivé par défaut sauf configuration contraire. Le propriétaire de l’environnement doit comprendre cette séquence avant de fournir des identifiants.

Listez pourquoi chaque valeur est nécessaire. Un identifiant privé de dépendance utilisé durant la configuration a un but différent d’un indicateur non sensible requis tout au long de la tâche. Ne rendez pas une valeur disponible pour tout le chat simplement par commodité de lecture sous le même nom de variable à chaque phase.

Contexte source : OpenAI : Environnements cloud

02

Utilisez la distinction de phase documentée

OpenAI documente les variables d’environnement ordinaires comme disponibles durant la configuration et la phase agent. Les secrets sont documentés comme chiffrés et disponibles uniquement pour les scripts de configuration, avec suppression avant la phase agent. Notez le mécanisme effectivement sélectionné dans les paramètres d’environnement.

Les scripts de configuration s’exécutent aussi dans une session shell distincte, donc un export effectué là-bas ne persiste pas automatiquement dans la phase agent. Traitez les choix de configuration, l’héritage shell et la disponibilité des secrets comme des mécanismes différents. Cette page concerne Codex hébergé, pas le test local CLI du processus-environnement.

Contexte source : OpenAI : Environnements cloud

03

Examinez les fichiers et journaux créés durant la configuration

Supprimer un secret d’une variable d’environnement n’est pas la même chose que supprimer une copie qu’une étape de configuration a écrite dans un fichier de configuration, un journal ou un artefact généré. Vérifiez ces sorties et les outils qui les produisent. Privilégiez l’approche prise en charge par l’organisation pour les dépendances privées sans persister inutilement les identifiants.

Utilisez le formulaire d’examen des sorties de configuration pour enregistrer les copies potentielles et leurs propriétaires. N’écrivez pas délibérément un vrai secret dans un fichier pour tester si l’agent peut le trouver. L’exemple fourni décrit une valeur factice de configuration et un chemin de sortie fictif afin que la décision puisse être discutée sans créer d’exposition d’identifiants.

04

Utilisez un enregistrement de phase avec valeur factice

Dans un environnement jetable approuvé, un examinateur peut enregistrer si un marqueur inoffensif est disponible à chaque phase. Le pack contient une matrice statique d’accessibilité attendue et une feuille d’observation vierge ; il n’exécute pas Codex, n’installe pas de dépendances ni ne contacte un fournisseur. Conservez toute preuve liée aux décisions de présence du marqueur plutôt que d’exporter le contenu de l’environnement.

Établissez la source configurée de chaque valeur avant d’interpréter une absence. Si la variable factice n’a jamais été configurée, l’absence d’un marqueur en phase agent ne démontre pas le comportement de suppression du secret. Enregistrez séparément les prérequis, la phase, la disponibilité attendue et l’observation réelle.

Contexte source : OpenAI : Environnements cloud

05

Incluez les démarrages mis en cache dans l’approbation

OpenAI documente l’état mis en cache du conteneur et un script de maintenance optionnel lors de la reprise. Il décrit aussi l’invalidation du cache lors de changements de configuration d’environnement. Une configuration initiale propre et une tâche reprise sont des observations de cycle de vie différentes, identifiez donc si le test a utilisé un environnement neuf ou mis en cache.

Clôturez l’examen avec les finalités des valeurs, la disponibilité par phase, la gestion des copies générées et la décision du propriétaire de l’environnement. Revérifiez lors de changements de configuration, maintenance, variables ou secrets. Le résultat n’approuve pas un CLI local, un espace de travail SSH distant ni tous les futurs environnements utilisant le même dépôt.

Contexte source : OpenAI : Environnements cloud · OpenAI : Approbations d’agents et sécurité