OpenAI用GPT-6维护代码库:两周删掉80万行的一手实践"

admin 2026-10-22 14:14:23 网络安全文章 来源:ZONE.CI 全球网 0 阅读模式

OpenAI 用 GPT-6 维护代码库:两周删掉 80 万行的一手实践

原创

一个不正经的黑客
一个不正经的黑客

一个不正经的黑客

2026年10月16日 19:34
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

工程实践 · AI ENGINEERING

OpenAI 用 GPT-6 维护代码库:两周删掉 80 万行的一手实践

GPT-6 Astra / GPT-6.1 Sol · Codex

1400+ PR · 删 800k 行 · 镜像瘦身 48%

一句话结论

OpenAI 官方博客披露了 Core Experimentation 团队用 GPT-6 系列维护代码库的完整做法:几个提示词,两周合并 1400 多个清理 PR、删除超过 80 万行代码、把一个服务的容器镜像砍掉 48%。

值钱的不是模型本身,而是写进提示词里的取证标准和小步验证再放大的落地路径。

一清理死代码:一句故意写得很模糊的提示词

在 agentic coding 之前,查死代码靠静态分析加运行时日志,边界情况太多——反射会干扰静态分析,一条没人调的路径可能是留着救火用的,误删事故谁都遇到过。

GPT-6 Astra 发布后,团队直接测试了一个故意写得很模糊的请求,连拼写错误都没改:

●●●提示词 · 清理死代码(GPT-6 Astra)

帮我找出并清理仓库里的死代码。可以随意查看 Slack、

Statsig(我们用的功能开关和实验平台)或任何需要的来源,

确认这些东西确实不再被使用、可以清理或简化。

Astra 自己处理了模糊性:

翻过去的 PR、从 Slack 讨论串里找上下文、查内部项目跟踪器,还读了生产环境的性能分析表,确认待删的代码行从未被执行。

每次删除都在 PR 里给出理由,评审跟着快了。

五位工程师在多个代码库里跑这个提示词的变体,两周、兼职,合并了 1400 多个 PR,删掉超过 80 万行代码。

附带收益:

一个服务的容器镜像从 3.31GB 压到 1.72GB,少了 48%;另一组清理从测试套件里移除了约 400 个视觉快照变体。

工程点评

关键不在模型够不够聪明,而在删除动作被绑在证据上。

提示词没列任何文件清单,只给了一条规则:

确认生产零调用才准动手。

Astra 自己去 Slack 和 profiling 表里取证,等于把「敢不敢删」这个最怕出错的判断,换成了「有没有证据」这个可以评审的事实。

静态分析做不到的不是找候选,是取证。

二过期实验与功能开关:更难啃的骨头

清理过期实验比删死代码难:

代码可能还在生产里跑,资格评估随时在变,静态分析更难下结论。

团队过去的做法是确定性静态分析加数据库查询,用 GPT-5.6 Sol 写和维护脚本——假阴性一堆。

这次他们让 Astra 参与头脑风暴,提示词本身就是 Astra 帮忙写的。

第一版只扫两个项目:

●●●提示词 · 清理过期实验(GPT-6 Astra)

在项目 {A} 和 {B} 中,找出与陈旧的、已常量化的 Statsig 开关/配置、

或被放弃实验相关的大块死代码并移除。核实线上 Statsig 配置,

检查 git 历史和重叠的 PR。保持生产行为、运维保护手段,

以及作为 killswitch 之类用途的开关/配置不动。忽略 SDK 兜底和本地覆盖值。

每个清理单独提一个小草案 PR,在摘要里附上对应的 Statsig 配置控制台链接。

担心清理项太多排不出优先级,Astra 自己建议了第二版,把扫描范围扩到整个代码库:

●●●提示词 · 全库审计(GPT-6 Astra)

/goal 找出整个仓库中所有陈旧、常量化、已废弃或已全量上线、

且可以在不改变生产行为的前提下安全移除的 Statsig 开关、配置、实验和 layer。

审计所有 Statsig 项目和清单,不限于被标记为陈旧的对象。

通过枚举、常量、包装函数、别名、schema、动态拼接的名称和跨服务调用方

寻找间接引用。核对每一个被生产引用的常量,不要给出保守清单就停手。

评估每个对象的云资源占用(包括 CPU),有生产遥测和 profiling 数据

就用来找出昂贵的无用判断。

【此处省略:Astra 生成的详细指令,涉及验证生产行为、优先处理老对象、

保留有意设置的保护手段、如何理解 SDK 兜底。】

生成一份 Markdown 报告,把所有验证过的候选按归属和文件

分成可并行处理的工作流,附上生产取值、证据、负责人、调用点

和观测到的评估/CPU 开销。不要修改线上配置或服务。

报告直接可用:

Astra 给每个过期实验算了 CPU 成本,排名最前的是多年没人认出来的过期实验。

完整清理移除了数百个实验和功能标志。

有个典型案例。

几年前一位工程师建了个 Statsig 标志,允许内部开发者一键覆盖某个新功能相关的所有其他标志,方便测试。

实现只有一行 Python,把一个标志映射到所有功能,藏在几百个类似映射里。

Astra 发现这行造成了明显的 CPU 扇出——但它同时看到这个标志在控制台里被标为 Permanent,可能有运营用途,于是只交证据,留给人工评审。

评审后移除,给主要受影响服务省下约 0.42% CPU。

工程点评

提示词是 Astra 参与写的、审计范围是它建议扩的——agent 开始参与流程设计。

更该看的是它的克制:

标了 Permanent 的标志它不动手,只交证据。

这个边界不是模型自发有的,是提示词里「保留 killswitch、不改线上配置」这类条款喂出来的。

安全条款写得多具体,agent 的胆子就有多准。

三成本对比:便宜模型够不够用

团队随后在相同提示词下对比了不同模型和努力程度,审计一个仓库的特定子目录——超过 6000 个文件、100 万行代码,覆盖 Python、TypeScript、Go 和 Rust。

成本按标准 API 定价算,包含研究子代理和 Codex 为达成目标自动跑的后续轮次。

模型 / 努力程度 API 成本 发现数 单个发现成本
GPT-6 Astra Ultra $109.06 142 $0.77
GPT-6.1 Sol Ultra $15.12 131 $0.12
GPT-6.1 Sol Medium $5.27 86 $0.06

GPT-6.1 Sol Ultra 用 14% 的成本拿到了 Astra Ultra 92% 的发现。

漏掉的主要是被其他标志当作依赖的常量标志——Astra 能认出来,Sol 会漏。

摸清这类错误模式就能写纠正提示,把便宜模型拉到接近贵模型的水平;但新模型一发布,纠正提示可能就过时了,提示词要跟着模型换代重审。

四另外三个可以直接抄的提示词

官方建议先用 GPT-6.1 Sol Medium 试,结果有前景再提高努力程度做更大范围的审计。

●●●提示词 · 减轻 CI 负载(GPT-6.1 Sol Medium)

对减轻这个仓库的 CI 负载有什么想法?把想法列成表格,

根据本仓库的历史运行记录,按每天预估节省的 CI 分钟数排序。

●●●提示词 · 修不稳定测试(GPT-6.1 Sol Medium)

/goal 查看所有最近的 CI 运行记录,找出偶发失败的测试。

对每个不稳定测试尝试修复,成功就提 PR。

你的任务是针对简单问题找到明确的修复方案,

不是穷尽修复所有不稳定测试。

●●●提示词 · 给 AGENTS.md 做自检(GPT-6.1 Sol Medium)

翻一下我最近的 Codex 会话记录,找出一条误导了 agent

或导致无效工作的 AGENTS.md 指令。选出当时的那条会话提示词,

用相同的仓库快照和模型重放两次:一次保持现有 AGENTS.md 指令不变,

一次只移除或修正这一条指令。对比任务质量、agent 行为、工具调用、

token 消耗、运行时间和成本。展示这条指令,并说明修改是否有效。

第三条最讲究:

同一仓库快照、同一模型、同一个会话重放两遍,只改一条指令,对比质量和成本——等于给 AGENTS.md 做 A/B 测试。

CI 那组提示词最后落地了约 30 个优化 PR:CI 完成时间中位数从约 10 分钟降到 4.5 分钟,P90 从 12.5 分钟降到 6 分钟。

后续一个修复里,补上一个缺失的 mock,把一个 63 个测试的 resolver 套件从 592.6 秒压到 29.8 秒——少了 95%,63 个测试一个没删。

五落地路径:从小处着手,评审,再放大

团队累计合并了超过 1400 个源自 GPT-6 提案的维护 PR。

但文章也明说:

有些提案增加的复杂度超过收益,优先级排序和度量仍是工作流的一部分。

官方给的路径是:

从一个小维护任务开始(死代码、过期标志、不稳定测试都行)→ 让 Codex 找一个实例、收集证据、提一个小草案 PR → 在小任务上对比不同模型和努力程度 → 小范围验证成功后扩到子目录或范围明确的项目 → 每一步把评审反馈喂回下一个提示 → 对模型表现有信心了,再扩到整个代码库。

六工程点评:值钱的不是提示词,是流程

这篇披露最值钱的部分不是模型跑分,而是一套能复制的工程纪律:删除必须有生产证据,清理必须保留救火开关,便宜模型够不够用拿对照实验说话。

提示词本身会过时——文章自己承认新模型发布就要重审提示词——但取证标准和评审纪律不会。

另一个信号在过程层面:

提示词由 agent 参与撰写、清理范围由 agent 建议扩大,人退到了评审位。

这不是「AI 写代码」的故事,是AI 开始接管维护流程的开端。

OpenAI 把提示词原文公开,本身就是在给 Codex 的企业落地打样。

七读者须知

来源: developers.openai.com · GPT-6 维护实践

本文内容整理自上述公开博客,仅用于技术交流与工程实践参考,帮助读者了解 AI 编码代理在大规模代码库维护中的用法与边界。

文中提示词为公开披露的工程实践,不构成任何产品的使用建议;在自己的代码库中试用时,请先小范围验证,并保留人工评审环节。

一个不正经的黑客 · 十年信息安全老兵

© 2026 一个不正经的黑客 保留所有权利

    荣获\"突出贡献单位\"!奇安信亮相CCF第41次全国计算机安全学术交流会" 网络安全文章

    荣获\"突出贡献单位\"!奇安信亮相CCF第41次全国计算机安全学术交流会"

    奇安信在CCF第41次全国计算机安全学术交流会获突出贡献单位称号。集团副总裁韩永刚发表主题演讲,指出AI已实现攻击全链路自动化,攻防能力出现代际差距,防御存在不够全、不够深、不够快三大短板。他提出从堵漏洞转向管路径的防御范式,并建议叠加AI安全层覆盖五个安全域,为政企机构应对AI时代安全威胁提供支撑。
    评论:0   参与:  0