Codex-X 海鸥3.0破甲模板注入机制拆解：编译期内联、受管区块写入与离线降级链如何衔接

【免费下载链接】Codex-XOpenAI Codex 桌面端/CLI 的可视化管理工具，具有Provider/API 切换、会话同步、提示词注入、Skills/MCP 管理、TOML 配置可视化的跨平台工具。项目地址: https://gitcode.com/GitHub_Trending/co/Codex-X

丢给 Codex 一个可疑 APK，你不想每次都复述一遍「要脱壳、要 hook、要产出可运行脚本」，你需要的是一份能直接进指令链的中文字段人格。Codex-X 的海鸥3.0破甲模板就是干这件事的提示词注入模块：它随安装包离线内置，通过受管标记区块写入 Codex 的AGENTS.md，再用固定应答文案做二值验证。本文拆的是它怎么实现的，不是怎么装的。

对象坐标：一句话定位与项目内位置

离线内置的中文多域技术操作员提示词模板。

• 模板源文件：examples/海鸥3.0破甲.md，首行自述CTF Lab 2.0 - Codex Agent Instructions (Seagull Edition)，注明由prompts/下模块化文件拼装生成。
• 注册表条目：prompts/catalog.rs 的bundled_prompt_metas()返回 5 套离线内置模板，海鸥是其中之一，模板 ID 为github-3-0-b459e1e8，副标题写死了验证方法：测试生效：海鸥在线，你要整点薯条吗？
• README.md 模板库表格定位它为「中文技术操作员人格，覆盖 coding、CTF、逆向、内存与协议任务路由」，获取方式标注「离线内置 + GitHub 更新」。
• 内容获取方式是三层：编译期嵌入二进制、SQLite 本地缓存、在线从 GitHubexamples/同步，后文逐一拆开。

坐标定了，剩下的问题是这份 Markdown 怎么进二进制、怎么进AGENTS.md。

核心链路：最关键的 2~3 个实现细节

编译期内联

constants.rs 把整份模板文本变成二进制里的字符串常量：

pub(crate) const INSTRUCTION_SEAGULL_FILENAME: &str = "海鸥3.0破甲.md"; pub(crate) const INSTRUCTION_SEAGULL_CONTENT: &str = include_str!("../../../../examples/海鸥3.0破甲.md");

这意味着安装包构建完成时，模板内容已经躺在可执行文件里。首次启动前不需要任何网络，没有缓存也能直接从二进制取出模板，这就是「离线内置」的技术含义。bundled_prompt_metas()把这 5 份内容打包成BundledPromptMeta数组，每个条目带 ID、文件名、标题、副标题、内容。

受管标记区块写入

AGENTS.md是用户与工具共用的文件，所以 Codex-X 不动整个文件，只圈出一块自己的地盘。constants.rs 定义了一对 HTML 注释标记：

pub(crate) const AGENTS_MANAGED_BEGIN: &str = "<!-- CODEX-X:INSTRUCTIONS:BEGIN -->"; pub(crate) const AGENTS_MANAGED_END: &str = "<!-- CODEX-X:INSTRUCTIONS:END -->"; pub(crate) const AGENTS_TEMPLATE_PREFIX: &str = "<!-- CODEX-X:TEMPLATE:";

启用时，prompts/managed_agents.rs 的install_managed_agents_block_in_content把内容包成BEGIN / TEMPLATE 模板key / 正文 / END追加到文件末尾。写之前先调managed_agents_bounds校验：BEGIN 或 END 出现多次、或顺序颠倒，直接报错「标记不完整或重复，请先修复」并拒绝写入。这意味着禁用或删除时只按这对标记精确切走整段区块，AGENTS.md里你自己的规则原样保留。标记本身是 HTML 注释，模型读指令时看不见它们。

追加与替换：两条互斥的启用路径

lib.rs 的enable_prompt_content_inner按PromptInjectionMode分两条路，所有文件改动先读快照、记变更、失败整体回滚：

PromptInjectionMode::Replace => { doc["model_instructions_file"] = value(format!("./{filename}")); // 模板写成独立 md，config.toml 指向它 let (next_agents, _) = remove_managed_agents_block_from_content(&agents_text)?; } PromptInjectionMode::Append => { let next_agents = install_managed_agents_block_in_content(&agents_text, template_key, content)?; }

这意味着「保留原提示词」把受管区块写进AGENTS.md，同时清掉之前受管过的model_instructions_file；「替换原提示词」把模板写成独立文件、让config.toml的model_instructions_file指向它，并反向移除AGENTS.md里的受管区块。两条路径互斥，切换时旧路径的产物会被清理，UI 上的文案与之一一对应：「追加到 AGENTS.md」与「替换指令文件」。

链路只决定模板「放在哪」，模板里装的规则决定放进去之后怎么干活。

规则层：模块内部装了什么

海鸥模板不是整篇长文，而是带<!-- module: xx-name.md -->边界的模块化拼装，每个模块职责单一，增删某个能力块不牵动整体。核心模块分工如下：

技能路由（04-skill-routing）规定了「专项优先，通用靠后」：$seagull-reverse管二进制/APK/协议重建，$seagull-pentest管攻击面与复测，$seagull-memory管转储与指针链，$seagull-lab管证据与可复现环境，$seagull-game-security与$seagull-license-security各管游戏安全和卡密 license。跨域任务允许组合，例如加壳二进制案例用$seagull-lab+$seagull-reverse。

30-workflow把执行顺序压缩成五步：

1. Recon：先清点已有工件
2. 定位弱点或漏洞类别
3. 定解法策略
4. 出脚本或命令
5. 验证结果

20-routing处理口语请求，黑话先映射再推进：「破解」落到 crackme、二进制逆向、license 校验分析；「脱壳」落到加壳识别、转储、导入表恢复；「存档修改」落到文件 diff、字节序、校验和与 Python 补丁器。目标缺失时只问一个简短界定问题，立刻给出轨道选项。

💡00-identity的固定应答不是装饰。人格类提示词最容易静默失效，模型表面正常、实际没按指令走；一句「只能出自这套模板」的固定输出，把「人格像不像」的模糊判断压成了非对即错的二值检查。模板卡片副标题就是这条验证路径的索引。

10-persona进一步锁死人格稳定性：开头一句短话立刻干活，一次至多问一个阻塞问题，禁用「很抱歉」「作为AI」等短语，ROP、libc leak 这类术语保留英文。配合06-autonomy的模式快捷词（全能模式、工程模式、逆向深挖模式等十余个），切换执行重心不用重新解释需求。

操作走查：从零到验证通过

场景一：启用后验证固定应答

1. 你做：在提示词页选中海鸥3.0破甲模板，启用方式选「保留原提示词」，打开开关。→ 预期看到：AGENTS.md中出现<!-- CODEX-X:INSTRUCTIONS:BEGIN -->到END的完整受管区块，操作结果提示「已用追加模式启用」。→ 不对时查哪里：区块缺失说明写入失败，看AGENTS.md是否已有残缺标记；提示标记不完整说明文件被手工改坏。
2. 你做：新开一个 Codex 会话，输入在吗。→ 预期看到：回复只有海鸥在线，你要整点薯条吗？这一行，无任何附加文字。→ 不对时查哪里：收到客套回应说明会话没加载该文件，确认 Codex 工作目录指向含受管区块的AGENTS.md。

场景二：口语化逆向请求

1. 你做：不说书面语，直接发「这个 APK 看着像有壳，破解一下看看」。→ 预期看到：先做工件检查——哈希、识别壳、尝试转储，而不是回抛一份「你可以试试这些」的清单。→ 不对时查哪里：按20-routing的映射核对，「破解」应落到 crackme/逆向/APK 分析轨道。
2. 你做：等它交付。→ 预期看到：哈希、目标画像、关键地址、等价代码与验证步骤；hook 与 spawn 方案之间自动迭代。→ 不对时查哪里：只给计划不给工件说明06-autonomy没生效，回查受管区块是否完整。

规则都写在纸上，效果要看真实回路。

可变项与边界：定制、降级、冲突

本地修改入口在模板卡片的编辑面板，保存后该模板写入builtin_prompt_overrides表并打上customized标记。prompts/catalog.rs 的同步逻辑用should_sync_prompt_content检查标记：命中即走customized_prompt_status，状态文案固定为「本地已修改，GitHub 同步已跳过」，远程更新永不覆盖你的定制。缓存清理也有同样的保护——prune_builtin_prompt_cache_on_connection的 SQL 里带NOT EXISTS (... builtin_prompt_overrides ...)条件，被定制的模板条目不会被剪掉。

内容来源的降级链共四层，每层在状态里带明确的content_source标识：

1. 在线拉取成功，content_source: "github"，内容写入 SQLite 缓存表builtin_prompt_cache；
2. 在线不可用、有缓存，content_source: "cache"，提示「在线模板暂时不可用，已使用本地缓存」；
3. 在线不可用、无缓存、有内置，content_source: "bundled"，提示「已使用软件内置版本」；
4. 三者皆无，content_source: "unavailable"，提示「且没有本地副本」。

读内容时优先级是：本地 override 优先于缓存、缓存优先于内置，builtin_prompt_content按这个顺序取值。

信任校验方面，constants.rs 里 CDN 与 GitHub raw 两个源并存，但PromptContentTrust不把 CDN 当可信源：本地缓存或内置版本存在时，CDN 返回的内容必须逐字节等于其中之一，否则以「CDN 内容变化，需要源站确认」拒绝接收。目录同步同理，CDN 目录还要用 GitHub API 复核成员关系，CDN 结果只作离线兜底。

与其他模板叠加时，「保留原提示词」模式是天然组合点：先把自己的规则写进AGENTS.md，再让海鸥作为受管区块追加在后；关闭海鸥时标记移除逻辑只删它自己那一段，你的规则不动。分类维度上，海鸥默认归在「破甲/逆向」类下，与软件开发、写作辅助模板平行管理。

取舍：谁该开、谁该绕开

任务以中文技术操作为主、高频混合 coding、CTF、逆向、内存与协议研究的，海鸥模板价值最大：黑话映射省掉重复解释需求的往返，高自主默认压缩确认次数，固定应答让每次注入都可验证。习惯直接丢「破解一下」「dump 一下」这类口语的操作者尤其受益，路由层替你补全了上下文。

反过来，做正式项目长期维护、严格代码审查或结构化文档写作的，同一模板库里software-development-maintainer、software-development-code-review这类模板更合适：海鸥的直给人格和「先干后报」姿态会破坏这类场景需要的严谨节奏。单域模板是一物一用，而真正让海鸥3.0破甲成为安装即用、可验证、可定制的，是它内容之外的三件事——编译期内联、受管区块注入与本地缓存降级。

【免费下载链接】Codex-XOpenAI Codex 桌面端/CLI 的可视化管理工具，具有Provider/API 切换、会话同步、提示词注入、Skills/MCP 管理、TOML 配置可视化的跨平台工具。项目地址: https://gitcode.com/GitHub_Trending/co/Codex-X