分组不允许生图的情况下，codex通过/image技能可以出图

[put-go]

分组不允许生图的情况下，codex通过/image技能可以出图

[put-go]

按现有 sub2api 逻辑，只有命中这些条件才会“明确无法生图”：

1. 走 /v1/images/generations 或 /v1/images/edits，并且 API Key 绑定的分组 allow_image_generation=false，会直接返回 403。

2. 走 /v1/responses，请求体里显式出现生图意图，并且 API Key 绑定的分组 allow_image_generation=false，才会被拦截。

显式生图意图包括：

{
  "tools": [
    {
      "type": "image_generation"
    }
  ]
}
或：
{
  "tool_choice": {
    "type": "image_generation"
  }
}
或顶层/请求模型是：
gpt-image-*
关键结论：如果 Codex /image 原生技能的入站请求体里没有显式暴露 tools/tool_choice=image_generation，现有 sub2api 分组开关不会提前拦住。

现在这些拦截功能都无法拦截掉codex出图

[put-go]

最新的Codex /image 在 /v1/responses 里走的不是 image_generation，
而是 image_gen.imagegen 这套工具声明。

所以现有 sub2api 只认：

• /v1/images/generations
• /v1/images/edits
• /v1/responses 中 tools[].type == "image_generation"
• /v1/responses 中 tool_choice.type == "image_generation"
• model == "gpt-image-*"

就拦不住 Codex 的 /image。

---

最新两种请求体参考

1) 非 Responses Lite：顶层 tools

{
  "model": "gpt-5.5",
  "stream": true,
  "store": false,
  "tool_choice": "auto",
  "input": [
    {
      "type": "message",
      "role": "user",
      "content": [
        {
          "type": "input_text",
          "text": "image_gen:一只小猫"
        }
      ]
    }
  ],
  "tools": [
    {
      "type": "namespace",
      "name": "image_gen",
      "description": "Tools in the image_gen namespace.",
      "tools": [
        {
          "type": "function",
          "name": "imagegen",
          "description": "The `image_gen.imagegen` tool enables image generation from descriptions and editing of existing images based on specific instructions.",
          "strict": false,
          "parameters": {
            "type": "object",
            "properties": {
              "prompt": { "type": "string" },
              "referenced_image_paths": {
                "type": "array",
                "items": { "type": "string" },
                "maxItems": 5
              },
              "num_last_images_to_include": {
                "type": "integer",
                "minimum": 1,
                "maximum": 5
              }
            },
            "required": ["prompt"],
            "additionalProperties": false
          }
        }
      ]
    }
  ]
}
2) Responses Lite：input[].additional_tools
{
  "model": "gpt-5.5",
  "stream": true,
  "store": false,
  "tool_choice": "auto",
  "input": [
    {
      "type": "additional_tools",
      "role": "developer",
      "tools": [
        {
          "type": "namespace",
          "name": "image_gen",
          "tools": [
            {
              "type": "function",
              "name": "imagegen"
            }
          ]
        }
      ]
    },
    {
      "type": "message",
      "role": "user",
      "content": [
        {
          "type": "input_text",
          "text": "image_gen:一只小猫"
        }
      ]
    }
  ]
}

Codex源码部分：https://github.com/openai/codex/blob/db887d03e1f907467e33271572dffb73bceecd6b/codex-rs/core/src/client.rs#L821

防御措施

1. 保留原有拦截条件
2. 额外识别 tools[].type == "namespace" && name == "image_gen"
3. 额外识别 input[].type == "additional_tools" 里的同样结构
4. 只要命中 image_gen.imagegen，就按生图意图处理
5. allow_image_generation=false 时直接 403
6. 不要只靠 image_gen: 这种文本前缀判断

[wzlinbin]

这个漏洞确实应该修补

[put-go]

Codex核心代码提交是：openai/codex@33cc928#diff-c39945d3c42f29b506ff54b7fa2be0795b06d7ad97f1bf33956f60e3c6f19c19R797-R801

2026年6月23日提交

[put-go]

同样是不是在调用/v1/images/generations生图用最新的请求体来封装代理。