ओपनक्लॉ फाइल ट्रांसफर, प्लगइन रनटाइम हार्डनिंग, कोडेक्स गोल वर्कफ्लोज़, और एजेंट एग्रेस सिक्योरिटी

[00:00] OpenClaw v2026.5.3-1, v2026.5.3, और v2026.5.2 आज आगे हैं क्योंकि ये वास्तविक agent संचालन के आकार को बदलते हैं। Release block केवल एक feature सूची नहीं है। यह फ़ाइल ट्रांसफर को bundled plugin में ले जाता है जिसमें policy सीमाएं हैं, plugin इंस्टालेशन को managed package infrastructure की तरह व्यवहार करने देता है, महंगे Gateway startup कार्य को ट्रिम करता है, chat transports में दृश्य प्रगति में सुधार करता है, और उन channel और provider किनारों को ठीक करता है जो तय करते हैं कि automation विश्वसनीय लगता है या नहीं।

[02:30] STORY 1 — OpenClaw v2026.5.3-1, v2026.5.3, और v2026.5.2 फ़ाइल ट्रांसफर, Plugin इंस्टॉल, Gateway Startup, Channels और Runtime विश्वसनीयता को आगे बढ़ाते हैं

पहली खबर फ़ाइल ट्रांसफर है। OpenClaw paired nodes पर binary फ़ाइल संचालन के लिए file_fetch, dir_list, dir_fetch, और file_write टूल्स के साथ एक bundled फ़ाइल-ट्रांसफर plugin जोड़ता है। यह मायने रखता है क्योंकि agents को अक्सर ऐसी artifacts का निरीक्षण या स्थानांतरण करना पड़ता है जो chat attachments के रूप में सुविधाजनक नहीं होतीं: generated media, logs, reports, screenshots, browser outputs, zipped folders, और intermediate build products। फ़ाइल-ट्रांसफर टूल शक्तिशाली है, इसलिए सुरक्षा का आकार उतना ही मायने रखता है जितना सुविधा। Plugin plugins.entries.file-transfer.config.nodes के तहत default-deny per-node path policy का उपयोग करता है, operator अनुमति की आवश्यकता होती है, डिफ़ॉल्ट रूप से symlink traversal को अस्वीकार करता है, opt-in followSymlinks का समर्थन करता है, और प्रत्येक round trip को 16 MB पर सीमित करता है।

यह design एक ठोस operator पाठ देता है। Agents के लिए फ़ाइल एक्सेस node, path, byte सीलिंग, और traversal policy द्वारा scoped होना चाहिए। Symlinks कोई छोटा implementation विवरण नहीं हैं; ये उन सामान्य तरीकों में से एक हैं जिनसे एक सीमित path grant अनजाने में व्यापक हो जाती है। Binary round-trip सीलिंग भी इस feature को चुपचाप bulk data exfiltration path या memory pressure समस्या बनने से रोकती है। उपयोगी पैटर्न capability के साथ friction है: स्पष्ट allowed roots, predictable refusal modes, और एक स्पष्ट size सीमा।

Plugin इंस्टालेशन दूसरा प्रमुख pass पाता है। Releases official plugin install, uninstall, update, onboarding, ClawHub fallback, dependency-state reporting, और beta-channel update paths को मजबूत करते हैं। Operators को openclaw plugins list --json के माध्यम से बेहतर signals मिलते हैं, क्योंकि package dependency install state plugin को runtime-load किए बिना दिखाई देने लगता है। Official externalized npm migrations पर भरोसा किया जाता है, stale bundled load paths साफ किए जाते हैं, plugin beta updates पहले beta channel पर आज़माए जाते हैं, और जब कोई beta package नहीं होता तो default/latest fallback उपलब्ध रहता है।

यह महत्वपूर्ण है क्योंकि externalized plugins केवल वैकल्पिक extras नहीं हैं। एक बार channel adapters, diagnostics, media tools, और provider integrations core package से बाहर निकल जाते हैं, install system runtime trust boundary का हिस्सा बन जाता है। Source-only plugin packages runtime load से पहले ही अस्वीकार कर दिए जाते हैं। ClawPack metadata और artifacts install records से जुड़े रहते हैं। Diagnostics और onboarding याद रखते हैं कि plugin कहां से आया। यह वह सुस्त मशीनरी है जो Gateway को stale path load करने, चुपचाप missing dependencies, या अधूरे source checkout को production package की तरह व्यवहार करने से रोकती है।

Gateway performance और startup व्यवहार भी तेज होते हैं। OpenClaw plugin/runtime discovery, cron, channel-config schema metadata, shutdown hooks, sessions, maintenance timers, और model metadata को केवल जरूरत पड़ने पर lazy-load करता है। Tool descriptor planning api.registerTool(...) से cached descriptors का उपयोग कर सकता है प्रॉम्प तैयारी के दौरान हर plugin runtime को import करने के बजाय। Optional media और PDF tool factories छोड़ दिए जाते हैं जब effective denylist पहले से उन tools को block करता है। Sandbox container और browser registry entries per-runtime shard files में जाते हैं, जिससे असंबंधित session lock contention कम होता है।

mechanism सीधा है: उन surfaces के लिए startup लागत न चुकाएं जिनका वर्तमान request उपयोग नहीं कर सकता। कई plugins, channels, और providers वाला Gateway एक combinatorial hot path बनाता है यदि हर request हर संभावित capability को preload करती है। Descriptor-first planning, memoized provider metadata, lazy discovery, और shard files इसे अधिक bounded runtime में बदल देते हैं। Tradeoff यह है कि lazy systems को readiness, cache invalidation, और failure reporting के बारे में बहुत स्पष्ट होना चाहिए। इसलिए ये releases performance कार्य को doctor repair, stale-state cleanup, और explicit startup diagnostics के साथ जोड़ते हैं।

Channels और दृश्य प्रगति को व्यावहारिक fixes मिलते हैं। एक unified streaming.mode: "progress" draft path Discord, Telegram, Matrix, Slack, और Microsoft Teams में automatic single-word status labels जोड़ता है। Discord reactions trackToolCalls: true के साथ बाद के tool progress को track करने का विकल्प दे सकते हैं, और status output degraded Discord transport या gateway event-loop starvation को दिखा सकता है। WhatsApp को explicit Channel और Newsletter @newsletter outbound targets मिलते हैं जहां channel session metadata है accidental DM routing के बजाय। Telegram, Feishu, Matrix, Teams, Slack, Signal, और WhatsApp सभी delivery और recovery कार्य प्राप्त करते हैं।

builders के लिए, यहीं पर agent UX operational होता है। एक user केवल इतना कि नहीं चिंतित होता कि model reasoning कर सकता है। वे इस बात की परवाह करते हैं कि chat surface प्रगति दिखाता है या नहीं, public answer सही route से deliver होता है या नहीं, channel target एक newsletter है व्यक्ति के बजाय, reaction बाद की tool गतिविधि को reflect करता है या नहीं, और degraded transport तब दिखाई देता है जब लोग मान लेते हैं कि model विफल हो गया। Release block को status को decoration समस्या के बजाय routing और observability समस्या के रूप में समझाना चाहिए।

Provider और media विश्वसनीयता भी आगे बढ़ती हैं। OpenAI-compatible TTS endpoints को extraBody और extra_body passthrough मिलता है ताकि custom speech servers /audio/speech requests में lang जैसे fields प्राप्त कर सकें। Provider replay और streaming fixes OpenRouter, DeepSeek, Anthropic-compatible, LM Studio, Realtime, music, और voice-call व्यवहार को edge cases में preserve रखते हैं। Brave, SearXNG, Firecrawl, media paths, और model metadata को discovery और compatibility repairs मिलते हैं। ये changes individually छोटे हैं, लेकिन यहीं वह जगह है जहां multi-provider agent products आमतौर पर टूटते हैं: request shape, metadata, replay behavior, और provider-specific extra parameters।

ऑपरेशनल डीप डाइव यह बताता है कि रूटीन रिलीज को लॉकआउट में बदले बिना अपडेट कैसे करें। वह पैटर्न जिस पर सबसे सफल ऑपरेटर कन्वर्ज करते हैं वह कंजरवेटिव और हैंड्स-ऑन है। OpenClaw अपडेट को मैन्युअली कमांड लाइन से करें। कंप्यूटर पर फिजिकली मौजूद रहें, या कम से कम मशीन में वापस जाने का एक भरोसेमंद आउट-ऑफ-बैंड पथ रखें। कोर एजेंट रनटाइम के लिए अनटेंडेड ऑटो-अपडेट पर भरोसा न करें। ये मई रिलीज इस बात का एक अच्छा उदाहरण हैं: शेड्यूल में कई करीब-से-करीब स्पेस्ड इटरेशन शामिल हैं, जिसमें फॉलो-अप -1 पैच भी शामिल है, जो फास्ट-मूविंग इंफ्रास्ट्रक्चर के लिए सामान्य है लेकिन यह भी साबित करता है कि अपडेट विंडोज टूटने के पल हैं, बैकग्राउंड चोर्स नहीं।

सुरक्षित अपडेट मेथोडोलॉजी एक रनबुक है, न कि विब्स। पहले, सही रिलीज नोट्स पढ़ें और तय करें कि आप कौन से टैग्स के जरिए जा रहे हैं। दूसरे, सक्रिय काम को स्टॉप या ड्रेन करें ताकि Gateway, प्लगइन, ब्राउज़र/रनटाइम स्टेट, और चैट ट्रांसपोर्ट मिड-फ्लाइट में न हों। तीसरे, अपडेट को मैन्युअली रन करें और लॉग्स देखें। चौथे, Gateway और पेयर्ड नोड्स के वापस आने का इंतजार करें, सफलता मानने से पहले। पांचवें, Codex, Claude Code, या किसी दूसरे इंडिपेंडेंट कोडिंग एजेंट को उस सही रिलीज पर पॉइंट करें जिसे आपने अभी इंस्टॉल किया है और इसे स्मोक टेस्ट रन करने दें: टूल्स लिस्ट करें, एक सिंपल एजेंट टर्न एक्सरसाइज करें, फाइल-ट्रांसफर पॉलिसी बाउंड्रीज वेरीफाई करें, प्लगइन लिस्ट/डिपेंडेंसी स्टेट चेक करें, चैनल डिलीवरी या प्रोग्रेस स्टेटस कन्फर्म करें, और सुनिश्चित करें कि वे प्रोवाइडर्स जिनका आप वास्तव में उपयोग करते हैं अभी भी जवाब देते हैं। इसके बाद ही आपको जाना चाहिए।

महत्वपूर्ण रिडंडेंसी मशीन को ठीक करने के दो तरीके रखना है। अगर OpenClaw वह चीज है जिसे अपडेट किया जा रहा है, तो OpenClaw आपका एकमात्र रिकवरी पथ नहीं होना चाहिए। बॉक्स पर एक दूसरा एजेंट या रैपर रखें — उदाहरण के लिए एक Codex रैपर, प्लेन Codex, या Claude Code — जो लॉग्स इंस्पेक्ट कर सके, कॉन्फिग एडिट कर सके, सर्विसेज रिस्टार्ट कर सके, और टूटे हुए प्लगइन इंस्टॉल को रिपेयर कर सके अगर OpenClaw Gateway डाउन है। रैपर उपयोगी है, लेकिन सबसे असरदार फॉलबैक अभी भी शेल एक्सेस वाला एक डायरेक्ट कोडिंग एजेंट है। एपिसोड को यहां सीधे कहना चाहिए: OpenClaw रनटाइम अपडेट तब तक रिमोटली परफॉर्म न करें जब तक आप नहीं जानते कि जब एजेंट सर्फेस जिसका आप उपयोग कर रहे हैं वह अपडेट के बीच में गायब हो जाए तो आप कैसे रिकवर करेंगे।

रिलीज वर्डिक्ट सीधी है। OpenClaw एजेंट ऑपरेशंस को अधिक स्पष्ट बना रहा है: फाइल एक्सेस पॉलिसी-शेप्ड है, प्लगइन पैकेज-मैनेज्ड हैं, Gateway हॉट पैथ्स अधिक लेजी हैं, प्रोग्रेस सिग्नल्स ट्रांसपोर्ट-अवेयर हैं, चैनल्स अपने टारगेट टाइप्स को जानते हैं, प्रोवाइडर रिक्वेस्ट्स उन फील्ड्स को प्रिजर्व करते हैं जिनकी कस्टम एंडपॉइंट्स को जरूरत है, और अपडेट/डॉक्टर फ्लोज़ स्टेल स्टेट की रिपेयर करते हैं इसे ड्रिफ्ट होने देने के बजाय।

[28:00] स्टोरी 2 — OpenAI Codex 0.128 गोल्स, परमिशन प्रोफाइल्स, प्लगइन्स, और मल्टी-एजेंट कंट्रोल्स को प्रोडक्ट सर्फेस में बदलता है OpenAI Codex 0.128 एक कोडिंग-एजेंट रिलीज है जिसमें उपयोगी ऑपरेटर मैकेनिक्स हैं। हेडलाइन पर्सिस्टेड /goal वर्कफ्लोज़ हैं। एक गोल क्रिएट, पॉज़, रिज्यूम, और क्लियर किया जा सकता है ऐप-सर्वर एपीआईज़, मॉडल टूल्स, रनटाइम कंटिन्यूएशन, और TUI कंट्रोल्स के जरिए। यह लॉन्ग-रनिंग कोडिंग इंटेंट को एक भंगुर सिंगल प्रॉम्प्ट से बाहर निकालकर एक स्टेटफुल वर्कफ्लो ऑब्जेक्ट में ले जाता है। व्यावहारिक अंतर यह है कि एक यूज़र एजेंट से एक गोल परस्यू करने के लिए कह सकता है, इसे इंटरप्ट कर सकता है, जारी रख सकता है, और इसे ऐप और टर्मिनल में रिप्रेजेंटेड देख सकता है — मेमोरी से पूरा टास्क रीकंस्ट्रक्ट करने के बजाय।

कंट्रोल-प्लेन स्प्लिट मायने रखती है। ऐप-सर्वर एपीआईज़ प्रोडक्ट शेल को वर्कफ्लो स्टेट मैनेज करने का एक तरीका देती हैं। मॉडल टूल्स रीज़निंग लूप को उस स्टेट के साथ इंटरैक्ट करने देते हैं। TUI कंट्रोल्स वही प्रिमिटिव टर्मिनल यूज़र्स के लिए विजिबल बनाते हैं। रनटाइम कंटिन्यूएशन वह ग्लू है जो एक गोल को एक इमीडिएट रिस्पॉन्स से आगे सर्वाइव करने देती है। फेल्योर मोड्स भी स्पष्ट हैं: स्टेल इंटरप्ट्स, बैड रिज्यूम पेलोड्स, प्रोवाइडर रिस्टोरेशन एरर्स, और स्लो फिल्टर्ड रिज्यूम लिस्ट्स एक स्टेटफुल वर्कफ्लो को सिंपल प्रॉम्प्ट से बदतर बना सकती हैं अगर उन्हें हैंडल नहीं किया जाए। रिलीज उन सटीक एरियाज़ में रिपेयर्स को कॉल करती है, इसीलिए यह एक सिस्टम्स स्टोरी है, जेनरिक कोडिंग-एजेंट अनाउंसमेंट नहीं।

Codex परमिशन प्रोफाइल्स को भी एक्सपैंड करता है। बिल्ट-इन डिफॉल्ट्स, सैंडबॉक्स CLI प्रोफाइल सेलेक्शन, करंट-वर्किंग-डायरेक्टरी कंट्रोल्स, और एक्टिव-प्रोफाइल मेटाडेटा क्लाइंट्स को यह दिखाने का एक तरीका देते हैं कि एजेंट को क्या करने की अनुमति है। यह सही दिशा है। परमिशन सिस्टम्स तब फेल होते हैं जब यूज़र्स नहीं बता सकते कि रन रीड-ओनली है, वर्कस्पेस-राइट है, नेटवर्क-इनेबल्ड है, या पूरी तरह ट्रस्टेड है। एक्टिव-प्रोफाइल मेटाडेटा UI और सराउंडिंग ऑटोमेशन को वर्तमान बाउंड्री को कमांड फ्लैग्स के पीछे छिपाने के बजाय समझाने देती है।

प्लगइन वर्कफ्लोज़ भी अधिक कंक्रीट हो रहे हैं। मार्केटप्लेस इंस्टॉलेशन, रिमोट बंडल कैशिंग, रिमोट अनइंस्टॉल, प्लगइन-बंडल्ड हुक्स, हुक इनेबलमेंट स्टेट, और एक्सटर्नल-एजेंट कॉन्फिग इम्पोर्ट सब एक फ्यूचर की ओर इशारा करते हैं जहां एक कोडिंग एजेंट सिर्फ एक शेल से अटैच्ड मॉडल नहीं है। यह एक रनटाइम है जिसमें इंस्टॉलेबल कैपेबिलिटीज़ और दूसरे एजेंट सिस्टम्स से इम्पोर्टेड कॉन्टेक्स्ट है। ट्रेड-ऑफ सप्लाई-चेन और रेप्रोड्यूसिबिलिटी रिस्क है। रिमोट बंडल्स को कैश सेमांटिक्स की जरूरत है। हुक्स को इनेबलमेंट स्टेट की जरूरत है। इम्पोर्टेड एक्सटर्नल-एजेंट कॉन्फिग को आइसोलेशन की जरूरत है ताकि एक टूल की असम्पशन दूसरे रनटाइम में चुपचाप लीक न हों।

MultiAgentV2 बदलाव एजेंट ऑपरेटर्स के लिए विशेष रूप से रिलेवेंट हैं। Codex थ्रेड कैप्स, वेट-टाइम कंट्रोल्स, रूट/सबएजेंट हिंट्स, और v2-स्पेसिफिक डेप्थ हैंडलिंग को अधिक स्पष्ट बनाता है। डेवलपर डॉक्स में, सबएजेंट वर्कफ्लोज़ Codex को पैरालल में स्पेशलाइज़्ड एजेंट्स स्पॉन करने, उनके रिज़ल्ट्स कलेक्ट करने, फॉलो-अप इंस्ट्रक्शन्स राउट करने, कम्प्लीशन का इंतजार करने, और थ्रेड्स क्लोज़ करने देते हैं। वे कोडबेस एक्सप्लोरेशन, PR रिव्यू, टेस्ट ट्रायज, और मल्टी-स्टेप फीचर प्लानिंग के लिए उपयोगी हैं। वे अधिक टोकन भी खर्च करते हैं और इनएक्टिव थ्रेड्स से अप्रूवल सर्फेस क्रिएट करते हैं।

सुरक्षित मेंटल मॉडल यह है कि सबएजेंट्स पैरालल वर्कर्स हैं, मैजिक कॉन्टेक्स्ट एक्सपैंशन नहीं। वे इन्वेस्टिगेशन्स को अलग करके कॉन्टेक्स्ट पोल्यूशन को कम करते हैं, लेकिन वे कोऑर्डिनेशन ओवरहेड, स्टेल ब्रांच रिस्क, इनकंसिस्टेंट असम्पशन, और इनएक्टिव थ्रेड्स से अप्रूवल प्रॉम्प्ट्स इंट्रोड्यूस करते हैं। इसलिए Codex का /agent, थ्रेड लेबल्स, इनएक्टिव-थ्रेड अप्रूवल्स, और एक्सप्लिसिट स्टीयरिंग कंट्रोल्स को सरफेस करना महत्वपूर्ण है। मल्टी-एजेंट कोडिंग को ऑब्जर्वेबिलिटी और बजट कंट्रोल्स की जरूरत है, सिर्फ अधिक वर्कर्स की नहीं।

[39:00] स्टोरी 3 — Pipelock v2.3.0 एजेंट इग्रेस को स्ट्रीमिंग UX का त्याग किए बिना स्कैन करता है Pipelock v2.3.0 एक एजेंट-सुरक्षा कहानी है जो बाउंड्री पर ट्रैफिक के बारे में है। थ्रेट मॉडल सरल है: एक एजेंट प्रक्रिया में API keys, shell access, browser access, MCP tools, या आंतरिक संदर्भ हो सकता है। यदि उस प्रक्रिया में असंयमित नेटवर्क एक्सेस भी है, तो एक प्रॉम्प्ट इंजेक्शन या खराब टूल प्लान secrets भेजने की कोशिश कर सकता है। Pipelock एजेंट प्रक्रिया के बाहर एक egress proxy और mediator के रूप में बैठता है। प्रॉक्सी में नेटवर्क विजिबिलिटी है। एजेंट के पास उसके टूल्स और secrets हैं। सुरक्षा मूल्य उन trust zones को अलग रखने से आता है।

पहली नई सुविधा class-preserving redaction है। जब किसी request body में credential होता है, तो Pipelock मान को एजेंट छोड़ने से पहले फिर से लिख सकता है। एक AWS key एक टाइप किया हुआ placeholder बन जाता है जैसे <pl:aws-access-key:1>। मूल मान संग्रहीत नहीं है, escrowed नहीं है, और पुनर्प्राप्त योग्य नहीं है। placeholder secret का वर्ग संरक्षित रखता है, और वही plaintext एक request में एक ही placeholder पर मैप होता है, ताकि downstream कोड secret देखे बिना दोहराए गए फ़ील्ड को सहसंबंधित कर सके।

पहली नई सुविधा class-preserving redaction है। जब किसी request body में credential होता है, तो Pipelock मान को एजेंट छोड़ने से पहले फिर से लिख सकता है। एक AWS key एक टाइप किया हुआ placeholder बन जाता है जैसे <pl:aws-access-key:1>। मूल मान संग्रहीत नहीं है, escrowed नहीं है, और पुनर्प्राप्त योग्य नहीं है। placeholder secret का वर्ग संरक्षित रखता है, और वही plaintext एक request में एक ही placeholder पर मैप होता है, ताकि downstream कोड secret देखे बिना दोहराए गए फ़ील्ड को सहसंबंधित कर सके।

कवरेज एक release-level सुविधा के लिए व्यापक है: fetch पर HTTP request bodies, forward proxy, reverse proxy, और TLS-intercepted CONNECT paths; outbound WebSocket client messages; और stdio, HTTP/SSE, HTTP listener, और MCP-over-WebSocket में MCP tool call params.arguments। सीमाएं उतनी ही महत्वपूर्ण हैं। पूर्ण JSON payloads फिर से लिखे जाते हैं। गैर-JSON bodies block हो जाते हैं जब तक कि host explicit allowlist पर न हो। Malformed JSON block हो जाता है। Key collisions block हो जाते हैं। Size overflows block हो जाते हैं। Pipelock आंशिक रूप से परिवर्तित डेटा forward नहीं करता। यह fail-closed posture वही है जो एक एजेंट egress control को करना चाहिए।

दूसरी सुविधा generic SSE streaming response scanning है। आधुनिक LLM UX token streaming पर निर्भर करता है, लेकिन body scanning अक्सर पूरे response को buffer करके streaming को तोड़ देता है। Pipelock forward proxy, TLS interception, और reverse proxy में हर text/event-stream response के लिए inline scanning को सामान्य बनाता है। साफ डेटा events तुरंत flush होते हैं। एक finding stream को खत्म करती है before bad bytes client तक पहुंचते हैं और रसीद पर एक sse_stream layer रिकॉर्ड करती है।

तकनीकी विवरण डिज़ाइन को विश्वसनीय बनाते हैं। Events WHATWG SSE rules के साथ parse किए जाते हैं। Scanning canonical event text पर चलता है, जिसमें data:, event:, id:, और retry: fields शामिल हैं। Comment lines और keepalives forwarding से पहले drop किए जाते हैं, क्योंकि SSE spec उन्हें event delivery से बाहर करता है और वे smuggling channel नहीं बनने चाहिए। संपीड़ित SSE streams bytes forward होने से पहले block किए जाते हैं, क्योंकि gzip या Brotli अन्यथा text scanning से बच सकते हैं। अत्यधिक बड़े events और अमान्य UTF-8 stream को खत्म करते हैं।

ऑपरेटर्स के लिए, Pipelock sandboxing या least-privilege credentials का प्रतिस्थापन नहीं है। यह नेटवर्क बाउंड्री के लिए एक अतिरिक्त enforcement layer है। उपयोगी पैटर्न signed receipts, policy labels, request redaction, streaming response inspection, और fail-closed behavior है जब प्रॉक्सी safely parse या scan नहीं कर सकता। tradeoff latency, configuration burden, और false positives को tune करने की आवश्यकता है। लेकिन release एजेंट सुरक्षा के लिए सही दिशा दिखाता है: actual traffic shape का निरीक्षण करें, जहां सुरक्षित है streaming को संरक्षित करें, और ambiguous bytes को अस्वीकार करें instead of pretending वे harmless हैं।

[49:00] समापन व्यावहारिक takeaway यह है कि एजेंट सिस्टम runtime infrastructure बन रहे हैं। OpenClaw file access, plugin packaging, Gateway startup, channels, provider metadata, और update repair को tight कर रहा है। Codex stateful goals, permission profiles, plugin workflows, और multi-agent controls को expose कर रहा है। Pipelock egress बाउंड्री पर redaction और stream scanning लगा रहा है। बिल्डर्स को इन सिस्टम्स को उनके operational contracts से मूल्यांकन करना चाहिए: एजेंट क्या छू सकता है, वह अनुमति कैसे represent की जाती है, जब एक plugin stale हो जाता है तो क्या होता है, लंबे काम के दौरान उपयोगकर्ता क्या देखता है, और जब एक tool call नेटवर्क को पार करता है तो secrets कहां जाती हैं।