Codex в CI полезен ровно настолько, насколько узко ему выданы права, и OpenAI это учитывает в самом инструменте. Для GitHub Actions рекомендуется официальный openai/codex-action вместо ручной установки CLI и передачи API-ключа на весь job. Разница не косметическая: action запускает proxy и даёт отдельную стратегию безопасности, тогда как ручная установка с job-wide ключом открывает секрет всему, что выполняется в job. Правильный инструмент здесь - часть правильной границы.

Главное в CI - не то, что агент умеет, а то, что ему разрешено. Least privilege здесь не рекомендация, а условие безопасности: каждое лишнее право повторяется на каждом прогоне и умножает цену ошибки. Полезно один раз увидеть цельный минимальный workflow. Ниже - обзор pull request с permissions в объёме contents: read, checkout с persist-credentials: false, вызовом openai/codex-action и ключом только из GitHub Secrets. Он делает ровно то, что нужно для review, и ничего сверх.

Изоляция секретов - первый принцип CI-конфигурации. Ключ хранят только в GitHub Secrets и отдают его через action, а не задают на уровне всего job. Причина конкретна: если job запускает скрипты, управляемые репозиторием - dependency-хуки, build-шаги, - то секрет, доступный всему job, сможет прочитать недоверенный или скомпрометированный код. Proxy, который поднимает action, как раз и служит тому, чтобы агент работал с моделью, не раздавая ключ всему окружению прогона.

Permissions выдают строго под требуемое поведение, а не с запасом. Обзору достаточно contents: read - ему не нужно писать. Комментировать pull request потребует pull-requests: write; коммитить и пушить - contents: write. Выдавать write "на всякий случай" нельзя: это открывает агенту возможность изменить защищённое там, где задача этого не требует. Каждое право в workflow отвечает конкретной нужде, и если нужды нет - права нет, потому что в CI лишнее право дорого.

Отдельная осторожность - fork-PR и недоверенный код. У GitHub своя модель секретов для форков, и запускать привилегированный workflow на pull request из форка без отдельного дизайна опасно: недоверенный код не должен получать доступ к вашим секретам. Триггер настраивают так, чтобы код из форка не оказался с привилегированными правами. Это не паранойя, а прямое следствие того, что PR из форка - это код, написанный кем-то посторонним, и относиться к нему нужно соответственно.