审批弹窗点到第 30 次，人就不再看内容了，OpenAI 想把这一步交给模型。
Codex 的默认沙盒逻辑是：代理在受限环境里随便折腾，一旦要联网、写沙盒外的文件、跑有副作用的命令，就停下来等人点批准。安全上没毛病，体验上是灾难——长任务里弹十几二十次，人很快就进入「不看内容直接点同意」的状态，审批形同虚设。原帖说的「决策疲劳」就是这个。
Auto-review 的做法是把这道门交给一个独立的审查代理。据 OpenAI 对齐团队 4 月 30 日发布的说明，主代理只管把任务做完，审查代理只管一件事：结合用户意图、环境和安全策略，判断这次越界该不该放。被拒时会给出理由，主代理据此换一条路继续，而不是整个任务卡死等人。
官方列出的重点拦截对象包括：把私密数据、密钥或凭证发往不可信地址；四处翻找 token、cookie、会话材料；大范围或持久性地削弱安全配置；以及有明显不可逆风险的破坏性操作。
此前 Auto-review 的审查调用是要算进用量的，这等于在惩罚谨慎的用户：开得越多，额度烧得越快。现在把这部分成本吃下来，信号很明确——OpenAI 希望它成为默认选项，而不是少数人才开的高级开关。
这和同一位负责人 Tibo Sottiaux 前几天关于 Chat、Work 合并的表态也对得上：代理要铺给更多普通用户，就不能指望每个人都读懂一条 shell 命令再点批准。把判断交给模型，是代理大规模普及绕不过去的一步。
值得记住的反而是官方文档里最不显眼的部分：Auto-review 不应被视为安全保障。自动化和人工红队都找到过误导它放行未授权命令的办法；而且它看不见沙盒内部发生的事，一个有意隐藏意图的主代理，完全可以在边界之内做审查代理察觉不到的事。
所以它更像一个把人从机械点击里解放出来的过滤器，而不是一道锁。99% 以上的放行率意味着它在绝大多数时候是安静的；真正要它出手的，恰好是那剩下不到 1% 里最难判断的情形——这也是评测数字最难覆盖的地方。