exec 与 wait：跑不完的程序怎么收场

读五个文件再汇总，用普通工具调用要走五次完整往返。每次往返把整个文件内容推进上下文，模型下一轮还得把滚大的历史重读一遍。真正贵的地方在往返的节奏上，工具本身不贵。

那让模型写程序不就行了。麻烦在于，这段程序没有任何人审过一行，模型现写现交。给它一个能读文件、能发网络请求的运行时，等于把宿主的全部能力直接交出去。

Codex 给模型两个工具，exec 和 wait。exec 收一段 JavaScript 源码，扔进一个全新的 V8 isolate 当 async module 求值。所有工具挂在全局 tools 对象上，名字被规范化成合法的 JS 标识符，写起来就是 await tools.exec_command(...)。程序里想循环就循环、想分支就分支，中间值留在变量里，只有主动交出去的那部分回到模型。

关键在于这个运行时被削得很薄。工具说明书里对模型直说了它没有什么：

- Runs raw JavaScript -- no Node, no file system, no network access, no console.
- Accepts raw JavaScript source text, not JSON, quoted strings, or markdown code fences.
- You may optionally start the tool input with a first-line pragma like `// @exec: {"yield_time_ms": 10000, "max_output_tokens": 1000}`.
- `yield_time_ms` asks `exec` to yield early if the script is still running. Defaults to 10000 ms.
- `max_output_tokens` sets the token budget for direct `exec` results. Defaults to 10000 tokens.
- When the JS code is fully evaluated, the isolate's lifetime ends and unawaited promises are silently discarded.

没有 Node，没有文件系统，没有网络，连 console 都没有。这些能力不是忘了加，是特意不给。程序想产生任何副作用，只剩一条路，走 tools。那条路上审批和沙箱一样不少，该弹的窗照弹，该拦的照拦。

附带好处是要审查的面积小了。isolate 里如果能直接读文件，这一层就得自己再做一套文件权限；现在它什么都做不了，权限判断留在下一层就够，代码不用写两遍。

往返贵、批处理便宜，这是几十年的老账。数据库有批量写入，RPC 框架都在攒 batch。模型采样一轮比一次网络往返贵得多，把 N 次合成一次，收益只会更夸张。

减法这一半更通用。给不受信任的代码一个尽量小的环境，让它想干坏事都没有接口可用，这是安全设计的通用形状，和 V8 这个具体技术没关系。换成别的语言、别的沙箱，该问的还是同一个问题：这段代码到底需要哪几样能力，其余的能不能一样都不给。

程序要跑三分钟，超时该设多少。

设成三分钟，用户三分钟看不到动静，也没地方喊停。设成十秒，长任务永远做不完，更难受的是前面九秒的成果跟着一起丢，模型只收到一条超时消息，只能从头再来。两个方向都不对，问题出在把「还没跑完」当成了失败。

Codex 把正在跑的脚本做成一个有身份的东西，叫 cell。yield_time_ms 到点，cell 不死，它把这段时间攒下的输出整包交出去，然后清空缓冲继续跑。exec 这时返回一句话，告诉模型脚本还在跑，编号是多少。

模型拿到编号，手上就有三个选择：调 wait 再买一段时间；带 terminate: true 把它停掉；或者干脆先去干别的。wait 只返回上次让出之后的新输出，因为交出去的时候缓冲就被清空了，同一段内容不会重复占两次上下文。

有个小细节很能说明设计者在想什么。让出时间超过十秒时，Codex 会额外再送一秒宽限，然后才真的观察。出处：codex-rs/code-mode-runtime/src/service.rs 第 198 至 210 行刚好卡在边界上完成的脚本，不会因为差几毫秒白白多走一次往返。

还有一处不对称值得记一笔。发给模型的说明书里，wait 有四个参数：cell 编号、让出时间、返回长度上限、要不要终止。可协议层的请求结构体只带前两个，后两个停在处理器那一层，终止走的是另一条路径，长度上限是拿到结果之后才截断的。读源码的时候这两层很容易混成一层。

把「还没结束」做成一等状态，是长任务接口的通用形状。HTTP 有 202 加轮询，任务队列有 job id 加 poll，导出大文件的后台任务也是先给你一个编号。共同点是不让调用方在「一直等」和「当作失败」之间二选一，而是给一个可以再问一次的把手。

放到 agent 上，这个把手还多一层价值。模型拿到中间输出之后可以改主意，发现前四步的结果不对，直接 terminate，不用陪着跑完剩下八分钟。控制权回到了会思考的那一方手里。