Сторонний код требует той же настороженности, что и любой недоверенный ввод. Hooks запускают реальные локальные команды с правами процесса Codex - это не безобидные заметки, а исполняемый код. Non-managed hooks требуют ревью точного хэша определения, и после любого изменения они снова становятся untrusted, пока их не пересмотрели. Это защита от тихой подмены: изменённый hook не начинает исполняться молча, а требует нового явного доверия к своему новому содержимому.

Установка плагина - это не автоматическое доверие его начинке. Plugin может привезти skills, агентов, MCP и hooks разом, и наличие плагина в источнике не означает, что кто-то проверил безопасность его bundled hooks. Их доверие оценивают отдельно, как и любой исполняемый код. Отсюда дисциплина: закреплять и просматривать источник, изучать, что именно привозит плагин, начинать с тестового окружения и не путать "установилось" с "проверено и безопасно".

Практический вывод - переносить повторяемые решения из случайных промптов в правильный слой. То, что вы каждый раз объясняете агенту вручную, лучше выразить один раз в config, инструкциях, skill, custom agent, plugin, hook или MCP - там, где это будет видимым, проверяемым и переживёт сессию. Случайный prompt легко потерять и невозможно отревьюить; политика в правильном слое, наоборот, читается, тестируется и объясняется. Безопасность - это архитектура из слоёв, а не удачная формулировка.

Типичные провалы вокруг доверия предсказуемы. Положиться на просьбу к модели вместо технической границы в permissions и sandbox. Держать одновременно секреты, запись и сеть в недоверенном контексте. Вставить ключ туда, откуда модель его прочитает. Принять установленный плагин или изменённый hook за доверенный без ревью. И держать политику в случайных промптах вместо слоя. Трактуйте недоверенный контент как данные, держите границу в механизмах, разносите секреты, запись и сеть и переносите решения в правильный слой.