10 周造出生产级 Git 后端：OpenAI 如何让 Codex Agent 团队完成 Pando 的 5 个工程关键

作者注：OpenAI 于 2026 年 11 月 2 日披露了内部 Git 后端 Pando。本文围绕“10 周进入生产”这一事实，拆解人机分工、测试体系和迁移过程，并整理普通团队可以借鉴的 Agent 工程方法。

2026 年 11 月 2 日，OpenAI 发布技术文章《Scaling Git at OpenAI》，公开了支撑其单体代码库全部开发活动的新 Git 后端 Pando：从启动到承载生产流量约 10 周，核心架构由一名工程师设计，实现由多个 Agent 团队承担，部署由少量工程师完成。这组事实很容易被讲成“一个人指挥 AI 造出基础设施”的故事，但官方披露的细节说明，真正起作用的是一整套工程约束与验证体系。

这不是一篇 AI 编程神话的转述。本文依据 OpenAI 官方披露，区分已经公开的事实与尚未公开的信息，例如人员规模、Token 成本、任务记录和代码人工修改比例都没有公布。

核心价值：读完本文，你将了解 Pando 为什么要建、Codex Agent 团队具体承担了什么、哪些验证手段让 Agent 能参与基础设施开发，以及这套方法在你自己的项目中应该如何落地。

Pando 核心信息速览：Codex Agent 团队交付了什么

先用一张表把官方已经确认的信息汇总清楚。需要注意的是，Pando 是 Git 兼容的服务端后端，既不是新的版本控制协议，也不是 GitHub 的直接替代品。

为什么 OpenAI 需要用 Codex Agent 重建 Git 后端

Pando 的起点是代码提交规模的爆发。官方图表以 2024 年第一季度合并到主分支的 Commit 数量为基准，统计后续季度的增长率，下表摘取部分节点。

这里有一个必须守住的边界：Commit 数量不等于代码行数、PR 数量或开发生产率。不能据此说“代码量涨了 25 倍”或“Codex 让工程师效率提高 25 倍”。OpenAI 自己的解释是，Codex 让工程师可以同时推进更多任务，进而带来更多并行分支、Push、合并、CI 作业以及 Fetch 和 Clone 请求。

到 2025 年第四季度前后，旧系统出现了 Push 和 Fetch 变慢、合并失败等问题，可靠性有时低于 90%。官方没有公开该可靠性指标的统计口径和时间序列，所以也不能把它理解为“超过 10% 的提交都失败了”。

Pando 技术架构的 4 个关键设计

Pando 没有抛弃 Git，重新设计的是后端的存储、引用更新和数据交付方式。理解这些设计，有助于看清“人类做了哪些不可替代的取舍”。

• 分支独立更新：放弃为整个仓库维护单一时间点的一致快照，每个分支独立维护版本，只有修改同一 Ref 的请求才需要协调，采用因果一致性模型。代价是一次多分支读取中，不同分支可能来自不同时间点。
• 保存并复用 Packfile：每次 Push 收到的 Packfile 作为不可变数据写入 Blob Store，Fetch 时根据客户端的 have/want 选取现成 Packfile，借助 Git 的 packfile-uri 机制下发下载地址，避免为每个客户端重复打包压缩。
• 区域缓存 Express：在多个区域部署集群和本地缓存，用一致性哈希分配请求，Packfile 缓存命中率超过 99%。这是 Git 数据缓存，与大模型 API 的 Prompt Caching 不是一回事。
• 后台分层 Compaction：类似 LSM Tree，将小 Packfile 逐层合并为覆盖连续版本区间的大集合，当前单体仓库使用到 L4 级别。

官方同时对比了三类架构，并做了一个 1,000 个客户端、合计 10,000 次 Push 的模拟。这是 OpenAI 构建的合成教学模拟，不是第三方独立基准测试。

官方公开的生产数据还包括：单小时 Packfile 交付峰值超过 57 TB，其中超过 99% 字节来自本地磁盘缓存；标准云虚拟机上 Clone 和 Fetch 可跑满 10 Gbps 链路；Push 的元数据读写为 O（1），Fetch 规划的元数据读取为 O（log Δ）。这些复杂度描述的是元数据操作，不是端到端网络耗时。

Codex Agent 团队如何分工完成 Pando

“一名工程师设计核心”不等于项目只有一个人，“Agent 团队实现”也不等于每一行代码都由 AI 编写。根据官方披露的工作范围，可以把分工整理如下，但 OpenAI 并未公开每个 Agent 的具体任务清单。

这张表反映的核心是：人类制定架构、约束和验收目标，Agent 承担大量实现与迭代，工程师对生产迁移和系统可靠性负责。官方没有提供人工开发的对照组，所以无法计算 Codex 把这个项目加速了多少倍。

Pando 测试体系：Codex Agent 为什么能参与基础设施开发

Pando 是基础设施软件，一旦出错，影响的是分支是否指向正确提交、Push 是否丢失对象、Fetch 是否拿到完整历史。普通网页写错了可以刷新，Git 后端写错了可能让整个公司的开发停摆。所以 OpenAI 给 Agent 配备的不是更长的提示词，而是可执行的验证系统。

Git 兼容性测试：判断的是行为而非编译

OpenAI 建立了 Git Conformance Test Suite，让 Agent 修改服务端实现后，可以自行检查行为是否符合标准 Git 预期。验证对象涉及 Ref 更新、Push、Fetch、Packfile 传输和协议兼容。关键在于标准是“与 Git 行为一致”，而不仅是“代码能编译、单测能过”。官方没有公开测试用例数量。

确定性并发模拟：让竞态可重复

分布式系统最难的错误往往出在多个操作交错发生时。OpenAI 使用 Deterministic Simulation Harnesses，以可重复的方式模拟系统状态和并发事件，帮助发现竞态条件、Git 协商问题、Packfile 规划错误和回归问题。举例来说，两个 Agent 同时修改同一分支时，不能让两个冲突更新都被判定为成功；更新分支指针前，新提交对象必须已经可读。这些是对测试目标的解释，不是官方逐项公开的用例。

Lean 与 TLA+ 形式化验证：注意时间线

官方披露使用 GPT-6 Astra 协助 Agent 编写 Lean 和 TLA+ 形式化描述，形成所谓的“Theory of Pando”，用于检查不变量、发现和修复错误，并证明特定性质。这里有两个限制：其一，被验证的是指定性质，不代表整个系统的所有代码路径都完成了数学证明；其二，官方表述是新模型陆续出现后持续被用于提升性能和可靠性，因此不能把这些实践全部归入最初 10 周。

长时间 Agent 会话与对抗性安全测试

OpenAI 还提到，多个连续 Agent 会话运行了数百小时寻找并修复边缘问题，具备 Daybreak 能力的模型持续对 Git 和 Pando 做对抗性测试。官方没有公开 Agent 数量、单会话时长、Token 消耗、修复 Bug 数量和人工监督频率，所以不能推导出“Agent 无人值守连续写代码几百小时”。值得关注的是思路转变：Agent 被用于持续验证，而不只是首次生成代码。

OpenAI 公开的 Git Fork 也能侧面印证这种持续改进。例如 2026 年 8 月的 index-pack 并行哈希、10 月的限流重试和已完成 Pack 复用等补丁，但这些提交都晚于 2026 年 4 月首次投产，同样不能算作 10 周内的交付物。

Pando 渐进式迁移：Codex Agent 写完代码不等于生产可用

10 周是从启动到投入生产，不是完整成熟化的全部耗时。Pando 的上线方式是一次典型的“不停机渐进迁移”，官方披露的过程大致如下：

1. 将 Pando 放在旧系统前面，作为读写穿透代理，新旧后端保持同步。
2. 在真实请求中合并相同请求、缓存 Git 数据，部分流量迁入后反而缓解了旧系统负担。
3. 通过内部 Git CLI 包装器分批迁移开发客户端。
4. 迁移数百个依赖旧 API、Webhook 和仓库下载方式的集成，以及 Review、Change Request 工作流。
5. 提供用于迁移的 Codex Skills，开发者可以直接让 Codex 协助准备本地仓库和迁移环境。
6. 将改进版 Git 客户端部署到工程师设备和 ChatGPT 桌面应用中。

官方称整个迁移没有中断工程开发，但没有公开回滚率、故障分布和失败案例。对技术负责人来说，这一段比“10 周”更值得研究：兼容旧工作流、迁移集成、分批切流，这些工作的复杂度往往不亚于写出新系统本身。

Pando 影响分析：对 Agent 开发者和技术团队意味着什么

对 Agent 开发者的影响

• 验证能力决定 Agent 上限：Pando 能让 Agent 参与核心实现，前提是存在兼容性测试、确定性模拟和形式化描述，Agent 能拿到可靠反馈。
• Agent 的角色在扩展：从写代码延伸到持续找边缘问题、对抗测试和协助用户迁移。

对技术负责人的影响

• AI Coding 会放大下游负载：提交量增长会传导到 CI、代码审查和代码托管。OpenAI 在 2026 年 7 月另文披露，内部每周 PR 数量较此前第四季度增长超过一倍，代码审查成为新瓶颈之一。
• 不必盲目自建 Pando：大型 Monorepo 的规模问题并非 AI 时代才有，绝大多数团队并不需要重建 Git 后端。

与 Harness Engineering 案例的对照

2026 年 2 月，OpenAI 披露了另一个独立项目：从空仓库开始，产品代码由 Codex 编写，约五个月产生百万行量级代码、约 1,500 个 PR，初期由三名工程师驱动。它和 Pando 不是同一团队和流程，数据不能混写，但两者指向同一趋势：工程师越来越多承担系统设计、测试环境和 Agent 工作流设计。该项目的经验包括拆分小任务、为每个分支提供独立运行环境、向 Agent 开放日志和指标、用 AGENTS.md 提供指引而不是把整个知识库塞进提示词。

Hacker News 上也有不同声音：质疑者认为 Commit 增长不等于质量提升，支持者认为写代码成本下降让更多小项目变得可行。这些是社区观点，不是统计结论。

如何借鉴 Codex Agent 团队的方法：测试驱动反馈环

Pando 最可迁移的不是规模，而是“让 Agent 拿到可执行反馈”的结构。下面是一个最小化的测试驱动循环，模型生成补丁，测试结果回流给模型继续修改。

import openai

client = openai.OpenAI(
    api_key="YOUR_API_KEY",
    base_url="https://api.apiyi.com/v1"  # API易 OpenAI 兼容接口
)

resp = client.chat.completions.create(
    model="YOUR_CODING_MODEL",  # 替换为你要测试的编程模型
    messages=[{"role": "user", "content": "根据以下失败测试修复函数：..."}]
)
print(resp.choices[0].message.content)

import subprocess
import openai

client = openai.OpenAI(
    api_key="YOUR_API_KEY",
    base_url="https://api.apiyi.com/v1"
)

SYSTEM = (
    "你是严格遵守约束的工程 Agent。"
    "只修改指定文件，不得改动测试；输出完整的新文件内容。"
)

def run_tests() -> tuple[bool, str]:
    """运行可执行验证，相当于 Pando 中的兼容性测试"""
    r = subprocess.run(["pytest", "-q", "tests/"], capture_output=True, text=True)
    return r.returncode == 0, r.stdout[-3000:] + r.stderr[-1000:]

def agent_loop(target: str, spec: str, max_rounds: int = 5) -> bool:
    for i in range(max_rounds):
        ok, log = run_tests()
        if ok:
            print(f"第 {i} 轮：测试全部通过，等待人工审核")
            return True
        source = open(target, encoding="utf-8").read()
        resp = client.chat.completions.create(
            model="YOUR_CODING_MODEL",
            messages=[
                {"role": "system", "content": SYSTEM},
                {"role": "user", "content":
                    f"需求与约束：\n{spec}\n\n当前代码：\n{source}\n\n测试输出：\n{log}"}
            ],
        )
        with open(target, "w", encoding="utf-8") as f:
            f.write(resp.choices[0].message.content)
    print("达到轮次上限，转交人类工程师处理")
    return False

agent_loop("src/ref_store.py", "同一分支的并发更新必须只有一个成功")

🚀 快速开始：搭建这类反馈环时，可以先通过 API易 apiyi.com 获取免费测试额度，用同一个 API Key 切换不同编程模型，对比它们在你的测试集上的修复成功率。

把 Pando 的做法抽象成普通团队可执行的框架，可以参考下表。这是基于官方披露整理的建议，并非 OpenAI 公开的 Pando 专用工作流。

常见问题 FAQ

Pando 与 Codex Agent 核心要点 Key Takeaways

• Pando 是什么：OpenAI 内部 Git 兼容后端，约 10 周进入生产，未对外开放
• 为什么要建：Codex 推高并发提交，旧系统出现变慢、合并失败等问题
• 人机分工：人类定架构与约束，Agent 做实现迭代，工程师负责部署
• 成功关键：兼容性测试、确定性模拟、形式化验证提供可靠反馈
• 时间线边界：后续新模型和验证方法不能全部归入最初 10 周
• 上线方式：读写穿透代理加分批切流，迁移不中断日常开发
• 上手方式：先建测试，再通过 API易 apiyi.com 多模型验证反馈环

总结

Pando 案例的核心要点：

1. 规模倒逼基础设施：AI Coding 带来的提交增长会传导到 Git、CI 和代码审查，Pando 是这一压力下的工程回应。
2. Agent 的产出依赖验证：Codex Agent 团队之所以能参与基础设施实现，是因为有可执行的兼容性测试、并发模拟和形式化描述。
3. 人类决策仍然关键：架构取舍、一致性边界和生产迁移都由人类工程师负责。

对大多数团队来说，可迁移的不是“10 周”这个数字，而是清晰约束、可执行测试、任务分工、持续反馈和人类关键决策这五个环节。不必追求全自动开发，先让 Agent 在一个有完整测试的小模块里跑通反馈环，再逐步扩大范围。

推荐通过 API易 apiyi.com 快速验证效果，平台提供 OpenAI 兼容接口和新用户免费额度，方便在同一套反馈环中对比不同编程模型。

📚 参考资料

1. OpenAI 官方技术文章 Scaling Git at OpenAI：Pando 架构、迁移与性能数据的主要来源
2. 链接： openai.com/index/scaling-git-at-openai

3. 说明： 2026-11-02 发布，本文事实的核心依据

4. OpenAI Harness Engineering：另一个 Codex 主导开发的内部项目

5. 链接： openai.com/index/harness-engineering

6. 说明： 用于理解 Agent 工程方法论，与 Pando 数据不可混用

7. Custom Code Review Rules for Codex：AI Coding 带来的代码审查瓶颈

8. 链接： developers.openai.com/blog/custom-code-review-rules-for-codex

9. 说明： 披露内部每周 PR 数量增长与 AGENTS.md 审查规则

10. OpenAI 公开 Git Fork：客户端改进代码仓库

11. 链接： github.com/openai/git

12. 说明： 包含 packfile-uri 等改进，不是 Pando 服务端源码

13. OpenAI Git 补丁追踪：上游贡献记录

14. 链接： oai-git.openai.chatgpt.site
15. 说明： 可核实投产后的持续工程改进

作者：APIYI 技术团队
技术交流：欢迎在 API易 网站首页联系我们，更多 Agent 开发资料可访问 docs.apiyi.com 文档中心

延伸阅读

• OpenAI 报错 model not found？GPT-5.5 已于 10 月 14 日从 ChatGPT 下线，5 步排查与替代方案:2026 年 10 月 14 日 GPT-5.5 从 ChatGPT、ChatGPT Work 和 Codex 全面退役，但 OpenAI API 不受影响。本文梳理 10 月 15 日最新情况，讲清 OpenAI “model not found” 报错的 5 大原因、分场景解决方法，以及 GPT-5.6 Sol、Terra、Luna 和 GPT-6 Astra 的替代选择。
• GPT-6.2 Astra 灰度曝光：5 个信号、3 个疑点，原子弹来了？:复盘 2026-10-31 至 11-02 的 GPT-6.2 Astra 灰度事件：时间线、5 个信号、3 个疑点、爆料证据分级、竞品节奏，以及开发者现在就能做的准备清单。
• GPT-6.1 Terra 发布解读：4 款 GPT-6 家族模型定位一次看懂:GPT-6.1 Terra 补齐了 GPT-6 家族的中档位置，本文用官方数据和第三方实测说明 Astra、Sol、Terra、Luna 四款模型的定位差异和选型思路
• ChatGPT 定时任务、Codex 代理与 Dot 全自动化对比：3 种自动化的 6 个核心差异:从触发、执行、持续统筹三个层面，对比 ChatGPT 定时任务、Codex 代理与 ChatGPT Dot 的全自动化能力、费用、可靠性与选型建议。