1. 客户端 base_url 指到你的网关（LiteLLM 这类），别做 TLS 中间人。网关里按 MIME + magic bytes 分流：prompt 与图片/视频明文直通，其余附件在网关内加密后替换 part 再转发。
2. 「加密狗」当密钥根，不当摆设：AES-256-GCM 的密钥封在 PKCS#11/TPM 令牌里，网关只拿令牌解出的临时密钥加密，长期密钥不进配置文件、不落盘。拔掉令牌，网关就拒绝生成密文——这才是你要的「确保」。
3. 对端是公共 API（OpenAI/Claude 这类）时，密文附件它读不了，对应功能等于废掉，这正是你说的「收到的都是废物」。要模型还能读，只能在你自己的网关解密后转发。
4. 每个密文外挂一个 manifest（算法/key id/原文件名/类型），否则收方不知道解出来是什么。
5. 每次加密/放行写审计日志：谁、何时、对哪些文件。

边界说清楚：这只拦「你自己客户端往外发的东西」，拦不住对方主动来拉；要 DLP 级别得在 OS 层（minifilter/FUSE/eBPF）做，用户态脚本很容易被绕过。

按你的规则（prompt 明文、png/jpg/mp4 明文、其余附件密文），落地就是「按类型分流的出站过滤器 + 自己握私钥的接收端」：

• 拦截点：别做 TLS 中间人（前面已验证 codex 会校验遥测端点证书、直接断握手）。让客户端 base_url 指向你自己的 OpenAI 兼容网关（LiteLLM 这类），在网关里改写 multipart 上传，主连接不动。
• 类型判定：按 MIME + magic bytes，不要只看扩展名。图片/视频明文直通，其余用 AES-256-GCM 或 age 加密；密钥别放配置里，放 TPM / PKCS#11 硬件令牌（就是你说的「加密狗」），拔掉令牌就不生成密文。
• 对端必须是你自己的服务（只有你握私钥）。密文外留一个 manifest（算法、key id、原始文件名/类型），否则收方不知道这是什么。
• 每次加密/放行都记审计日志。

两个坑：

1. 对端若是 OpenAI/Anthropic 这类公共 API，附件加密后模型读不到，功能等于废掉；要模型能读，只能在你的网关解密后再转发，厂商看到的仍是明文。
2. 用户态脚本容易被绕过（换客户端、直接 curl）。要「凡是送出去的都加密」，得在 OS 层做（Windows minifilter / Linux FUSE 或 eBPF），或者只放行你的网关出口。

最小版本：网关 + MIME 白名单 + age 加密 + 私钥放 TPM，先跑通一条真实链路，再谈全量。

但是不要影响client & server 的prompt交流，

比如检测client 电脑的prompt, 送出去的资料包括除了prompt之外，其他的通通加密，
把png, jpg，mp4 不加密，其他的附件档案全部自动加密

codex 的遥测是旁路 OTLP，端点和链路跟 api.openai.com 的模型调用是两条独立连接。你把遥测那条拦掉或改道，主通道照常工作，回答内容不受影响。

关键是它可能对遥测端点做证书校验（前面已经验证自签 CA 会被直接断握手）。所以按省事程度排：

• hosts / DNS 把遥测域名指到 127.0.0.1 或黑洞地址，千万别动 api.openai.com；
• egress 防火墙或代理按域名放行，只白名单主 API 域名；
• 想留遥测又不想外发，就把端点指到自建 OTel collector，并让 codex 信任你的 CA。

中间人解密那条路最麻烦、也最容易误伤主连接，不推荐。

搞一搞，加密后会不会对codex番回有什么影响吗。。。

那 489 KB 是什麼我拆開看過了：OpenTelemetry 的 metrics，55 個 metric、195 個資料點、3,649 個直方圖格。裡面沒有你的 prompt、沒有檔案內容，但有 auth_mode、model、os 版本、你是不是在 git repo 裡跑。

要它不出門，config 一行：

[otel]
metrics_exporter = "none"

設完那條連線直接消失，單筆最大上傳從 489,278 掉到 27,514，總上傳從 592,110 掉到 97,805。目標端點是寫死的 ab.chatgpt.com/otlp/v1/metrics ，環境變數改不動它，所以你想用擋的也可以：我這邊 exporter 打不通的時候，codex 照樣跑完、exit 0。擋的代價只是少一份 telemetry，不是 codex 不能用。

你的檔案：376,858 bytes、一筆 POST、OTLP metrics、沒壓縮，33 個 metric、152 個資料點、2,573 個直方圖格，全部是數字，沒有 prompt。這部分我同意。

我那台跑同一支程式是 56 個 metric、198 個資料點、3,684 個直方圖格、522,765 bytes。差在哪？我這邊是 macOS 加 ChatGPT 訂閱登入，每個資料點都掛著 auth_mode=Chatgpt、model=gpt-5.6-sol、os 版本，還帶著四個 MCP server 的載入紀錄。你在 docker 裡跑本地模型又沒登入，這些欄位對你來說根本不存在。所以你的 dump 是「你這台機器的內容」，不是「這個工具送什麼」。

我把那包導到本機的 sink 讀完，確定的三件事：

一、489 KB 跟你的 376 KB 是同一條管線，差在環境大小。你裝的東西越多，它報得越多。

二、預設的 metrics 裡真的沒有 prompt、沒有 email、沒有 account id。這點你對。

三、同一支二進位檔還有一條 logs 管線，預設是關的。把 otel.exporter 指到一個端點，每次啟動會多送五批 log，欄位有 user.account_id、user.email、conversation.id、host.name、approval_policy、sandbox_policy、mcp_servers；裡面一條 codex.user_prompt 帶 prompt_length，再把 otel.log_user_prompt 設成 true，那條的 prompt 欄位就是你的原文。

最後補你那句「沒測到等價的關閉開關」。有的，名字就在 config schema 裡：

[otel]
metrics_exporter = "none"

設完之後 ab.chatgpt.com 那條連線直接消失，單筆最大上傳從 489,275 掉到 27,514，總上傳從 592,110 掉到 97,805。0.154.0 也一樣，493,732 掉到 39,580。另外 OTEL_EXPORTER_OTLP_METRICS_ENDPOINT 那種環境變數它不理，要改的是 config key。

ab_metrics_dump.txt