Codex Dispatch gateway-чеклист: программные токены, SSH egress и CI routing

В большинство развёртываний AI API gateway по умолчанию вшито допущение, что разработчик находится у компьютера: открыл редактор, отправил запрос, получил ответ. Это допущение тихо демонтируется. Свежий апдейт Codex от OpenAI — доступ через мобильное приложение, общедоступный Remote SSH, программные access tokens и hooks — превращает coding agent из локального инструмента у клавиатуры в нечто более похожее на фоновый инфраструктурный процесс. Для команд, которые маршрутизируют AI-трафик через gateway, это меняет место установки gateway, способ выдачи credentials и подход к планированию token-бюджета.

Что произошло

14 мая 2026 года OpenAI выпустила сразу пачку возможностей Codex в одном анонсе:

• Codex в мобильном приложении ChatGPT: полноценный удалённый опыт, подключающийся к любой машине, где запущено десктопное приложение Codex — ноутбуку, выделенному Mac mini или управляемой удалённой среде. Разработчик может запускать треды, утверждать команды, просматривать diff'ы и переключать модели с телефона, а выполнение остаётся на исходной машине. Защищённый relay-слой (не прямой port forwarding) делает машины доступными без публичного выхода в интернет.
• Remote SSH теперь общедоступен: Codex может подключаться напрямую к корпоративно управляемым средам через SSH-конфигурацию на десктопе разработчика. Проекты и треды выполняются внутри этих удалённых машин; credentials, политики и compute остаются там, где их контролирует организация.
• Программные access tokens: scoped credentials, выдаваемые в настройках ChatGPT workspace и заточенные специально под CI-пайплайны, release-процессы и автоматизацию. Это не персональный session token пользователя — это токены workspace: отзываемые, с настраиваемым scope.
• Hooks теперь общедоступны: репозиторий- и каталог-scoped поведения, срабатывающие на события Codex — сканирование промптов на секреты, запуск валидаторов, логирование диалогов, инъекция памяти или кастомизация поведения Codex под конкретный репозиторий.
• HIPAA-совместимая локальная работа: подходящие workspace ChatGPT Enterprise могут использовать Codex локально (CLI, IDE, app) для healthcare-сценариев.

Анонсированный неделей ранее режим Locked Use (Codex может управлять Mac-приложениями при заблокированном экране) — это та же архитектурная сдвижка, только на десктопном уровне: агент отвязывается от присутствия пользователя.

Почему это важно для AI-инженерных команд

Модель исполнения больше не привязана к сессии. До сих пор большинство сценариев Codex шли короткими интерактивными циклами: разработчик пишет prompt, агент действует, разработчик ревьюит. Новая модель позволяет Codex работать по нескольким тредам часами, а человеческий ввод вливается асинхронно с любого устройства. Это меняет cost-профиль одной «задачи»: то, что раньше было 5-минутной интерактивной сессией, теперь может быть 2-часовым фоновым job с редкими human touchpoints.

Access tokens меняют threat surface на уровне API. Программные access tokens, выдаваемые для CI-пайплайнов, — материально другой тип credential, чем session-токены разработчиков. Они scoped к workspace, но могут использоваться неинтерактивно. Если ваша команда маршрутизирует Codex API-трафик через gateway ради видимости или контроля бюджета, эти токены вводят новый жизненный цикл credential, который нужно отслеживать: выпуск, scope, ротация и отзыв — всё требует governance, и gateway хорошо подходит для логирования всего этого.

Hooks — первая официальная точка расширения между агентом и политикой. Они позволяют организациям перехватывать и влиять на поведение Codex на уровне репозитория или каталога — теоретически до того, как промпт уходит с машины разработчика. Для enterprise governance это значимо: вместо надежды на то, что модель сама откажется от чувствительного действия, можно поставить валидатор на уровне hook. Однако hooks выполняются локально на машине разработчика, а не на уровне API gateway, и поэтому не заменяют network-уровень наблюдаемости.

Remote SSH в управляемых средах сдвигает зону, где нужен gateway. Если разработчики маршрутизируют Codex через корпоративный SSH-управляемый devbox, API-вызовы теперь могут идти не с индивидуальных ноутбуков, а из shared compute-среды. Меняется egress IP, меняется credential surface, а потенциально и политика маршрутизации: один devbox, которым пользуются пятеро разработчиков, может иметь иные compliance-требования, чем пять независимых ноутбуков.

Угол маршрутизации и эксплуатации

Планирование token-бюджета нужно делать с длинным горизонтом. Когда Codex работает фоновым процессом по двухчасовой задаче с человеческими прерываниями, общий расход токенов размазывается по множеству мелких обменов — одобрения, перенаправления, обновления контекста — а не на одну большую генерацию. На масштабе это сглаживает пиковую дисперсию трафика, но повышает постоянную фоновую нагрузку. Политики маршрутизации, заточенные под короткие всплески, могут оказаться недопровиженными под постоянных низкоинтенсивных фоновых агентов.

Scope credentials теперь — first-class забота маршрутизации. Программные access tokens под CI несут другой риск-профиль, чем интерактивные токены разработчиков. Если вы используете gateway для медиации Codex API-трафика, в request ledger стоит отслеживать тип токена: какие запросы пришли от scoped CI-токена, а какие — от интерактивной сессии. Это не про блокировку, а про аудируемость и аномалии.

Hooks локальны, а gateway видит сеть. Эти два слоя observability дополняют друг друга, а не заменяют. Hooks обеспечивают enforcement политики на границе (на уровне репозитория, до сети). Routing gateway фиксирует всё, что доходит до API. Для enterprise-команд правильная позиция такая: hooks — для prompt-level guardrails, gateway-логирование — для network-level audit trail. Ни одно не заменяет другое.

Remote SSH + relay-слой вводят новую egress-топологию. Если ваша политика AI governance связывает compliance-позицию с источником egress (как принято во многих корпоративных сетевых политиках), проверьте, что трафик Codex из подключённых по SSH удалённых сред проходит через ваш существующий API gateway. Relay управляется OpenAI; SSH-соединение — локальное; фактические API-вызовы модели по-прежнему идут на api.openai.com. Убедитесь, что конфигурация gateway покрывает compute-среды, а не только ноутбуки разработчиков.

Чек-лист для команд, внедряющих remote-dispatch Codex:

1. Проведите аудит сред (ноутбуки, Mac mini, devbox'ы), которые используются как хосты Codex, и подтвердите, что они маршрутизируют исходящий AI API-трафик через ваш gateway.
2. Настройте gateway так, чтобы паттерны credentials chatgpt-enterprise-access-token логировались отдельно от интерактивных user-токенов, как только программные токены появятся в вашем трафике.
3. Просмотрите конфигурацию hooks по каждому репозиторию: разберитесь, какая pre-flight валидация выполняется локально, а какая — нет.
4. Если используете Remote SSH, проверьте, что политики API egress compute-узлов совпадают с политиками ноутбуков.
5. Поставьте alerts по token-бюджету на фоновый трафик агентов: постоянное низкоуровневое потребление пропустить легче, чем всплеск.

Что стоит отслеживать или попробовать пользователям TheRouter

Для команд, которые используют TheRouter для маршрутизации OpenAI-совместимого трафика, модель remote dispatch у Codex поднимает прикладной вопрос: где работает агент, и попадает ли его источник в периметр вашего gateway?

Если вы используете маршрутизацию по провайдерам в TheRouter для медиации вызовов к api.openai.com, убедитесь, что правила маршрутизации применяются не только к egress из IDE/ноутбуков, но и к devbox или CI-средам, где будут использоваться программные access tokens. API endpoint один и тот же; исходная машина и credential — разные.

Следите за паттернами программных access tokens в логах запросов, как только команда внедрит CI-автоматизацию на базе Codex. Scoped-токены с необычным паттерном использования (например, большой объём входного контекста без соответствующих approval-выходов) могут сигнализировать о runaway agent loops — такое стоит ловить на уровне gateway как можно раньше.

Источник: Work with Codex from anywhere — OpenAI, 14 мая 2026 г.