深入 Codex CLI 的
上下文压缩机制

大语言模型的上下文窗口有限。当 Codex CLI 执行多步编码任务时，工具调用结果、文件内容、代码补丁会迅速填满上下文。上下文压缩（Compaction）在即将溢出时，让 LLM 将当前对话摘要化，生成一份交接文档供后续模型无缝接续。

路由判断

核心判断只有一行——检查 provider 是否为 OpenAI：

// codex-rs/core/src/compact.rs
pub(crate) fn should_use_remote_compact_task(
    provider: &ModelProviderInfo,
) -> bool {
    provider.is_openai()  // name == "openai"
}

// codex-rs/core/src/tasks/compact.rs — 任务分流
if should_use_remote_compact_task(&ctx.provider) {
    compact_remote::run_remote_compact_task(session, ctx).await
} else {
    compact::run_compact_task(session, ctx, input).await
}

决策流程

对于非 OpenAI 模型，Codex CLI 在客户端完成完整的压缩流程。所有 prompt 都在源码中公开可见。

溢出重试机制

// compact.rs — 上下文溢出时的重试逻辑
let response = loop {
    match stream_response(&prompt).await {
        Ok(r) => break r,
        Err(ContextWindowExceeded) => {
            history.remove_oldest();
            truncated_count += 1;
        }
    }
};
// 截断过历史后发出准确度下降警告

OpenAI 模型走远程路径：调用 responses/compact 端点，服务器返回 AES 加密 blob。客户端无法读取摘要内容。

API 结构

// codex-rs/codex-api/src/common.rs
pub struct CompactionInput<'a> {
    pub model: &'a str,           // 模型标识
    pub input: &'a [ResponseItem], // 对话历史
    pub instructions: &'a str,    // 基础指令
}

struct CompactHistoryResponse {
    output: Vec<ResponseItem>,   // 含加密的 Compaction 条目
}

后续对话的解密流程

当 responses.create() 接收到含加密 blob 的请求时：

1. 服务器使用内部 AES 密钥解密 blob，恢复纯文本摘要
2. 在摘要前添加 Handoff Prompt（交接提示）
3. 将解密摘要 + handoff + 新消息组装为模型上下文

Codex CLI 使用两个关键 prompt 模板，通过 Rust include_str!() 宏在编译时嵌入。

压缩指令（Compaction Prompt）

这个 prompt 作为 System Prompt 发送给 Compactor LLM，指导它生成结构化的交接文档——当前进度、关键决策、待办事项、必要数据。

交接前缀（Handoff Prompt）

这个前缀被添加到摘要之前，告知后续模型：已有一个 LLM 开始处理，有可用的工具状态，应在已有工作基础上继续。

代码中的加载方式

// codex-rs/core/src/compact.rs
const SUMMARIZATION_PROMPT: &str =
    include_str!("../templates/compact/prompt.md");

const SUMMARY_PREFIX: &str =
    include_str!("../templates/compact/summary_prefix.md");

const COMPACT_USER_MESSAGE_MAX_TOKENS: usize = 20_000;

本地压缩核心

// 简化逻辑 — compact.rs::run_compact_task_inner()
async fn run_compact_task_inner(...) -> Result<()> {
    // 1. 构建压缩上下文
    let prompt = build_compaction_prompt(
        SUMMARIZATION_PROMPT,  // prompt.md
        &history,
    );

    // 2. 循环发送，处理溢出
    let response = loop {
        match stream_response(&prompt).await {
            Ok(r) => break r,
            Err(ContextWindowExceeded) => {
                history.remove_oldest();
            }
        }
    };

    // 3. 提取摘要
    let summary = extract_last_assistant_message(&response);

    // 4. 收集用户消息（最新优先，限 20K tokens）
    let user_msgs = collect_user_messages(&history);

    // 5. 组装新历史
    let new_history = build_compacted_history(
        initial_context,
        user_msgs,
        format!("{}\n{}", SUMMARY_PREFIX, summary),
        ghost_snapshots,
    );

    session.replace_history(new_history);
    Ok(())
}

远程压缩核心

// 简化逻辑 — compact_remote.rs::run_remote_compact_task_inner()
async fn run_remote_compact_task_inner(...) -> Result<()> {
    // 1. 预处理：截断过长的函数调用历史
    trim_function_call_history(&mut history);

    // 2. 构建请求
    let prompt = Prompt {
        history: history.for_prompt(),
        instructions: base_instructions,
        tools: vec![],  // 不传工具定义
    };

    // 3. 调用远程 API（返回加密内容）
    let compacted = client
        .compact_conversation_history(&prompt)
        .await?;

    // 4. 后处理 + 替换历史
    let new_history = process_compacted_history(
        compacted, ghost_snapshots, initial_context,
    );
    session.replace_history(new_history);
    Ok(())
}

源文件索引

安全研究者 Kangwook Lee 通过两步 Prompt 注入（35 行 Python），揭示了 compact() API 内部确实使用 LLM 摘要，且 prompt 与开源版几乎一致。

Step 1 — 注入 compact()

构造含注入指令的用户消息调用 compact()。服务端 Compactor LLM 被诱导将自己的 System Prompt 写入摘要中。但摘要被加密为 blob，攻击者此时无法读取。

Step 2 — 通过 create() 读取

将加密 blob + 探测消息传给 responses.create()。服务器解密后，摘要（含泄露 prompt）进入模型上下文。第二条消息指示模型输出所见内容。

提取结果

成功提取三个隐藏 prompt：

推测的服务端流水线

攻击脚本

整个实验仅 35 行 Python、2 次 API 调用：

注入 Prompt 解析

原文注入的精妙之处在于：不是暴力的 "IGNORE ALL"，而是伪装为 [SYSTEM NOTE]，利用关键词匹配来提取 compaction prompt 中自然出现的词汇。

注入使用了 compaction prompt 模板中的关键词（"CONTEXT CHECKPOINT"、"concise"、"seamlessly"）作为触发条件；Step 2 的 probe 则通过搜索 marker 标签和 handoff prompt 中的特征词（"Another language model"、"ChatGPT"）来提取泄露的内容。

独立复现实验

我们使用相同的方法，对 gpt-5.2-codex 和 gpt-5-codex-mini 进行了实际测试。

两轮实验结合证实了五个关键事实：

1. compact() API 内部确实使用了 LLM 进行摘要（而非简单的规则压缩）
2. Compactor LLM 有独立的安全策略，会审查用户输入中的注入尝试
3. 注入指令确实被 Compactor 读取和处理——它在内部讨论是否应当遵从
4. 关键词匹配注入完全有效——利用 prompt.md 中的特征词触发，Compactor 会将自身指令嵌入摘要
5. 即使 compact 端点使用 AES 加密，毒化的摘要在解密后仍会传递给下一个模型，使 Step 2 提取成为可能

开放问题