500个代理24小时上班，OpenAI先给它们套上笼子

OpenAI内部现在跑着500多个持久代理，其中数百个是OpenClaw。Kevin S Lin在开发者博客里写了他们怎么管这些代理，Peter Steinberger转发了这条消息（原推，博客原文）。

所谓持久代理，和一次会话解决一个目标不同：它24小时在线，范围更宽，能在没人盯着时主动做事。能力越大，企业IT越头疼。

博客开头把问题说得很直白：持久代理更像承包商，不像传统SaaS。它能完成一整块工作，也可能做出偏离目标的动作，甚至写任意代码。传统软件主要防外部攻击，持久代理的风险有一部分来自内部，来自代理自己的行动。这个判断值得企业先记住。

OpenAI的做法先从边界下手。他们把可信的确定性逻辑和不可信的LLM执行分开。OpenClaw实现了remote harness execution，Gateway单独跑在一个容器里，实际也在单独集群，agent harness分开。网络、身份、沙箱这些关键部分按可信代码对待，代理执行环境和它写的代码按不可信处理。

沙箱边界覆盖网络、工作区、进程和密钥。网络走组织管理的allowlist，显式拒绝受限端点，连云元数据地址也在拒绝名单里。工作区只允许写agent工作目录。进程靠Codex Linux sandbox隔离。密钥不直接给agent，走credential broker。配置里还禁用了danger-full-access模式，只允许cached web search，deny .ssh，命令行环境里剔除GH_TOKEN和GITHUB_TOKEN。这里有个容易忽略的细节：剔除环境变量不等于文件里的凭证就安全，所以目录权限和broker要一起上。

第二个防线是模型。Auto-review让另一个代理审核主代理的动作。人工审批如果每步都弹窗，人很快就会机械点通过。用模型做过滤器，把人的注意力留给高风险动作。比如读邮件可以放行，发邮件要审批。这个思路像工人做危险操作前找主管签字，不新鲜，但放在代理上很实用。

身份也被拆开。每个agent有唯一身份，绑ChatGPT Service Account，有自己的推理凭证，和用户身份分开。这样审计能分清动作是谁发起的，团队也能接自定义插件。有人问撤销身份后已经在途的任务怎么办。Kevin回复说，撤的是身份对下游服务的访问，所有调用经过集中credential broker，访问一断，相关调用就失败。

可观测性没有省略。控制面的每次配置变更、agent的每个turn都记录。因为对话可能含敏感信息，日志权限收得很紧，只开放给安全团队少数人。OpenAI内部用这些代理自动根据产品反馈开PR，也在新功能上持续跑数据实验。

企业部署还在早期。OpenAI在Dev Day发布了OpenClaw Enterprise，开源、厂商中立的代理控制面，目前pilot，计划年底到1.0。配置麻烦也是真麻烦，Dmytro Brokhin回复说，他在OpenClaw和Hermes上越用越觉得要配置的东西多。另一个回复里，神宮司誠仁贴了开发者网站手机端的截图，文字读不了：

持久代理的价值不用怀疑。先把权限、身份、审计和逃生口钉死，再谈让它24小时上班。顺序反过来，承包商就会变成你没法下线的同事。