Codex CLI：決定版テクニカルリファレンス

要点： Codex は、複数の環境で動作するコーディングエージェントです。コードベースを読み取り、OS レベルのサンドボックス内でコマンドを実行し、ファイルにパッチを適用し、タスクをクラウドへ委任します。config.toml、サンドボックス／承認モデル、AGENTS.md、MCP、skills という5つの仕組みを使いこなせば、Codex は作業効率を飛躍的に高めてくれます。モデルの選び方： OpenAI のモデルに関するドキュメントでは現在、日常的なコーディングや複雑なコーディングには GPT-6 Sol（gpt-6-sol、v0.156.1 以降は CLI のモデル選択画面に表示）、特に難度の高いエンドツーエンドの作業には GPT-6-Astra（モデル未設定時には引き続き CLI に同梱されたデフォルト）、範囲を絞った大量のタスクには GPT-6 Luna を推奨しています。利用可否はプラン、ワークスペース設定、ロールアウト状況によって異なり、それまでは GPT-5.6 モデルも引き続き利用できます。GPT-5.5 は、ChatGPT サインインで利用する Codex から2026年10月14日に廃止されます。¹⁴⁶¹⁷¹ 初めて使う場合は、インストールとクイックスタートに進んでください。リリースを追っている場合、最新の安定版は v0.157.1（2026年9月26日）です。リリースのハイライトでは、まず現在の状況（デフォルトで有効な機能と、まだ試験段階にある機能）をまとめ、その後に各バージョンを解説しています。変更履歴には、このガイドのすべての更新が記載されています。¹¹⁶¹⁷⁴

Codex は、コードを書くチャットボットではなく、複数の環境で動作するコーディングエージェントです。 CLI はコードベースを読み取り、サンドボックス内でコマンドを実行し、ファイルにパッチを適用します。さらに、MCP を介して外部サービスに接続し、長時間かかるタスクをクラウドへ委任できます。ローカルで動作しながら、グローバルな視野で思考します。作業方法に応じて、同じインテリジェンスを5つの異なる環境で活用でき、その1つがブラウザ拡張機能です。Chrome、Edge、Brave、Opera、Vivaldi に対応し、ブラウザを乗っ取ることなく、その中で Codex を実行できます。⁹⁰¹²⁷

Codex を何となく使う場合と効果的に使う場合の違いは、5つの中核的な仕組みを理解しているかどうかにあります。 これらを使いこなせば、Codex は作業効率を飛躍的に高めてくれます。

1. 設定システム：config.toml を通じて動作を制御します
2. サンドボックスと承認モデル：Codex に許可する操作を制御します
3. AGENTS.md：プロジェクト単位の運用ルールを定義します
4. MCP プロトコル：外部サービスとの連携によって機能を拡張します
5. skills システム：再利用可能な専門知識をパッケージ化します

私は数か月にわたり、本番環境のコードベース、CI/CD パイプライン、チームのワークフローで Codex と Claude Code を併用してきました。このガイドには、その経験を凝縮し、使い始めた当時に欲しかった完全なリファレンスとしてまとめています。すべての機能について、実際の構文、実用的な設定例、そして経験豊富なユーザーでもつまずきやすいエッジケースを掲載しています。

重要なポイント

• 5つのインターフェース、1つの頭脳：CLI、デスクトップアプリ、IDE拡張機能、クラウドタスク、ブラウザ拡張機能（Chrome、Edge、Brave、Opera、Vivaldi）は、すべて同じモデルファミリーを共有しています。ワークフローに合ったインターフェースを選びましょう。⁹⁰
• OSレベルのサンドボックス化：Codexは、コンテナ内ではなくカーネルレベル（macOSではSeatbelt、LinuxではLandlock + seccomp）でファイルシステムとネットワークの制限を適用します。
• AGENTS.mdは複数のツールで利用可能：プロジェクトの指示は、Codex、Cursor、Copilot、Amp、Jules、Gemini CLI、Windsurf、Cline、Aider、Zed、および60,000以上のオープンソースプロジェクトで機能します。一度書けば、どこでも使えます。
• プロファイルでコンテキスト切り替えの負担を軽減：名前付きの設定プリセット（fast、careful、auto）を定義し、--profileで切り替えられます。
• コンテキスト管理が重要：Codexに同梱されているカタログでは、GPT-6 Astra、Sol、Luna、およびGPT-5.6ファミリーのコンテキストウィンドウは272Kです（APIでは、GPT-6 SolとLunaは1.05Mと記載されています）。GPT-5.5は、2026年10月14日にCodexで提供終了となるまで、400Kを利用できます。トークン予算を先回りして管理するには、/compact、焦点を絞ったプロンプト、@file参照を活用してください。⁸³¹¹²

このガイドの使い方

これは3,300行を超える参照資料です。経験レベルに合った箇所から始めてください。

末尾のクイックリファレンスカードでは、主要なコマンドをひと目で確認できます。

リリースハイライト：最近の変更点

Codexのリリース動向を追う方向けに、バージョンごとの記録を新しい順でまとめています。初めて読む場合は「クイックスタート」まで読み飛ばして構いません。以下の内容は、Codexを使い始めるうえで必須ではありません。検証の詳細（比較、コミット一覧、ドキュメントの確認）は脚注に記載しています。

現在の状況

2026年9月26日時点のCodex CLI

• 安定版： v0.157.1。9月26日に公開されたWindows向けパッチ（npm latest）で、v0.157.0（9月25日）を基にしています。
• Alpha： npm alphaは0.159.0-alpha.4です。0.158系では安定版がリリースされていません。
• v0.157.0以降、デフォルトで有効： フルスクリーントランスクリプト、バックグラウンドサーバーの自動起動、Guardianのスレッドコンテキスト。無効にするには、[tui]のfullscreen_transcript = false、[features]のdaemon_auto_start = false（または--no-daemonを付けて起動）、あるいは[features.guardianv2]のthread_context = falseを設定します。
• v0.156.0以降、デフォルトで有効： /voice、管理対象worktrees、Guardianによる親コンパクションの再利用（[features]のキーはrealtime_conversation、worktrees、guardian_reuse_parent_compaction）。
• 引き続きオプトインまたは実験的： 実験的なコンテキスト管理、Codex Cloud、code mode。
• モデル： 日常的なコーディングから複雑な作業まで対応するGPT-6 Sol（gpt-6-sol）、最も難しいエンドツーエンド作業向けのGPT-6-Astra（モデル未設定時には、引き続きCLIに同梱されたデフォルト）、大量処理向けのGPT-6 Luna。GPT-5.5は、2026年10月14日にChatGPTサインイン経由のCodexから提供終了となります。
• バージョンの固定： npm install -g @openai/codex@0.157.1を実行し、codex --versionで確認します。¹⁷⁴¹⁷⁵

v0.157.1（2026年9月26日）

mainからバックポートされた4件の修正を含むWindows向けパッチです。code-modeホストやローカルstdio MCPサーバーの起動時に、Codexがコンソールウィンドウを開かなくなりました。Windowsによってプロセスが外側のジョブオブジェクト内に置かれている場合でもバックグラウンドサーバーを起動できるようになり、切り離されたバックグラウンドサーバーがランチャーの出力パイプを開いたままにすることもなくなりました。後者は、ランチャー終了後も呼び出し元のコマンドが待機し続ける原因となる場合がありました。GitHubのリリースノートと変更履歴には、ハイライトを「特定できなかった」とだけ記載されています。上記の一覧は、このリリースのコミットに基づいています。

対応：WindowsでCodexを実行する場合はアップグレードしてください。4件の修正はすべてWindows固有です。¹⁷⁴

v0.157.0（2026年9月25日）

さらに3つの機能がデフォルトで有効になったリリースです。

• フルスクリーントランスクリプトがデフォルトで有効になりました。 v0.156.0では/tuiから利用できたフルスクリーンUIが、設定に[tui]セクションがない場合も含め、セッション起動時の標準UIとなりました。ターミナルのスクロールバックを残すには、/tuiでScrollbackを選択するか、[tui]にfullscreen_transcript = falseを設定します。--no-alt-screenとtui.alternate_screen = "never"は、引き続き優先されます。Shiftキーを押しながらクリックすると、トランスクリプトの選択範囲を拡張できるようになりました。
• バックグラウンドサーバーが自動的に起動するようになりました。 対象となる対話型の起動で適用され、このオプションは/experimentalから外れました。--no-daemon、--oss、--profile、または大半の-cオーバーライドを指定した起動では使用されません。稼働中のサーバー設定がセッションと一致しない場合、Codexは、サーバーを使わずに実行する、必要な設定で再起動する、またはキャンセルする（デフォルト）という選択肢を提示します。自動起動を無効にするには、[features]にdaemon_auto_start = falseを設定します。
• Guardianのスレッドコンテキストがデフォルトで有効になりました。 Guardian v2のenabled切り替えとは独立して、同期レビューと非同期レビューの両方に適用されます。無効にするには、[features.guardianv2]にthread_context = falseを設定します。

モデル：v0.156.1で初めて提供されたGPT-6 SolとLunaもこのリリースに含まれています。Amazon Bedrockのカタログにも追加され、BedrockのデフォルトはGPT-5.6 SolからGPT-6 Solへ変更されました。GPT-5.6 Solではultrafastサービス階層が廃止され、Fastのみとなります。同梱カタログでは、GPT-6-Astraが実験的なコンテキスト管理に対応するモデルとして表示されなくなりました（コンテキスト管理を参照）。

このほか、別のアプリで開いている会話をfショートカットでフォークできるようになり、下書きとキュー内のプロンプトも引き継がれます。/importはリモートセッションとバックグラウンドサーバーのセッションでも機能します。また、ターミナルでUnicodeの箇条書き、チェックボックス、位置の揃った数式をレンダリングできるようになりました。修正点として、スレッド切り替え後も音声会話が継続されるようになり、ターン終了時に未送信の回答が復元され、tmuxのマウス設定が尊重されるようになりました。また、リアルタイム接続とスタンドアロンのWeb検索が設定済みプロキシを経由し、一時的に失敗したファイルアップロードを5分のタイムアウト付きで再試行するようになりました。さらに、リダイレクト、オープンHTTP、WebSocket接続の全体でネットワーク制限が適用されます。Windowsでは、sandboxオブジェクトへのアクセスがランナーのログオンセッションに限定されました。¹⁷⁴

v0.156.1（2026年9月23日）

GPT-6 SolとGPT-6 Lunaを安定版CLIに追加する、変更1件のみのパッチです。どちらも/modelピッカーでGPT-6-Astraの下に表示されます。GPT-6-Astraは先頭のままで、config.tomlにモデルが設定されていない場合の同梱デフォルトでもあります。ピッカーでは、GPT-5.6ファミリーが旧モデルとして表示されるようになり、GPT-5.6 Solには「複雑な作業向けの旧世代コーディングモデル」、GPT-5.5には「レガシーコーディングモデル」と表示されます。レート制限に近づいた際の切り替え案内でも、gpt-5.6-lunaではなくgpt-6-lunaが提示されるようになりました。

設定で旧モデルを指定している場合は、1度限りの移行プロンプトが表示されます。保存済みのgpt-5.6-sol、gpt-5.6-terra、gpt-5.5、gpt-5.4はGPT-6 Solを参照し、gpt-5.6-lunaとgpt-5.4-miniはGPT-6 Lunaを参照するようになります。このリリースではAmazon Bedrockのカタログに変更はありません。GPT-6 SolとLunaは含まれず、GPT-5.6 Solが引き続きBedrockのデフォルトです。

ドキュメントに記載されていないコスト上の注意点があります。同梱カタログでは、GPT-6 SolとLunaのデフォルトサービス階層がFast（priority）に設定されています。そのため、service_tierが未設定のTUIセッションはFastモードで開始される場合があり、ChatGPTサインインではStandardの2.5倍のクレジットが請求されます。/fast statusで確認でき、/fast offでStandardに切り替えられます。

対応：アップグレード後、使い慣れたタスクでcodex -m gpt-6-solを試してください。利用可否はプラン、ワークスペース設定、ロールアウト状況によって異なります。Enterpriseでは、管理者が先に新しいモデルを有効にする必要があります。¹⁷¹

v0.156.0（2026年9月22日）

3つの機能が同時にデフォルトで有効になったリリースです。ドキュメントの変更履歴でも、同日に最初の2つが発表されました。

• 音声機能がデフォルトで有効になりました。 対応ビルドでは、/experimentalを開かなくても/voiceでライブ会話を開始できます。あわせて、設定可能なF8切り替え、今後の会話で使用する音声を選べる/voice settingsピッカー、LinuxおよびWindows向けの同梱音声ランタイム、視差効果を減らす設定への対応が追加されました。
• 管理対象worktreesがデフォルトで有効になりました。 --worktreeと/worktreeで機能フラグが不要になりました。worktreeセッションは既存のローカルdaemonに接続でき、エージェント概要画面から作成することもできます。
• Guardianによる親コンパクションの再利用がデフォルトで有効になりました。 Guardianがレビューセッションを再起動する際、親スレッドの暗号化済みコンパクションを再利用できます。

それぞれを無効にする方法は、slash commands表の/voiceと/worktreeの行、およびGuardianのセクションに記載しています。

このほか、/tuiで選択できるオプションのフルスクリーンTUIが追加されました。トランスクリプト検索、マウスによる選択とコピー、右クリックでのコピー、クリック可能なリンク、警告ビューアーを利用できます。さらに、/themeピッカーの6種類の同梱テーマ、/usage分析ダッシュボード、ターミナルでのMermaid図とTeX数式のレンダリング（それぞれ個別に切り替え可能）、/daemonメニューと--no-daemonフラグが追加されました。新しいTUIスレッドでは、推論要約がデフォルトで無効になっています。セキュリティ修正では、Windows sandboxにおける受信トラフィック、特権ソケット、読み取り専用ファイルハンドルの抜け穴が解消され、codex doctorのエラーに設定値が表示されなくなりました。バグ修正により、失敗または中断されたターンの後もストリーミング回答が保持され、tmuxとSSHでのクリップボード転送が修復され、再開時にPlan modeが復元され、システムプロキシ経由でもログインを回復できるようになりました。¹⁶⁹

v0.155.1（2026年9月18日）

修正1件のみのホットフィックスです。0.155.0では、設定にmodel_reasoning_summaryがない新しいローカルTUIスレッドがdetailed要約を要求していました。そのため、推論要約に対応していないプロバイダーではリクエストが即座に拒否されていました。0.155.1ではフォールバックがnoneに戻され、キーが未設定なら要約を要求しません。明示的なauto、concise、detailedの設定は以前から尊重されており、現在も変わりません。同じ1行の変更がmainにも反映され、0.156.0に含まれています。

対応：0.155.0の新しいTUIセッションがOpenAI以外のプロバイダーやセルフホスト型プロバイダーで失敗していた場合は、アップグレードしてください。要約を使用する場合は、キーを明示的に設定します（設定リファレンスを参照）。¹⁵⁸

v0.155.0（2026年9月17日）

音声機能が、実験的なオプトイン機能として安定版TUIに加わりました。対応ビルドでは/experimentalから有効にすると、/voiceでストリーミングトランスクリプトとマイク操作を備えたライブ会話を開始できました。ミュート用ショートカットを設定でき、macOSパッケージには署名済み音声リソースが含まれていました。5日後のv0.156.0ではデフォルトで有効になりました。このリリースでは、管理対象worktreesはデフォルトで無効のままでした。

0.155.0には、次の変更も含まれます。

• MCPユーザー検証： 対応するMacのローカルTUIセッションで、Secure Enclaveによって署名されたTouch ID検証をMCPリクエストに使用できます。ワークスペース単位のID制限と、MCPツール継続時のネイティブ検証にも対応しています。
• Windowsの/sandbox-add-read-dir slash commandが削除されました。
• Worktree管理： エージェント概要画面でworktreeセッションを非表示、アーカイブ、削除でき、所有権の詳細を確認できます。クリーンな管理対象worktreeを削除する前には確認が行われます。
• ライブ推論要約がTUIのステータス行にストリーミング表示され、完了した作業には完了時刻が表示されます。
• Daemon： 更新スケジュールを設定できるようになり、codex app-server daemon updateコマンドと、daemon再起動後のスレッド復旧機能が追加されました。
• Amazon BedrockのAWS認証情報コマンドと、安定版CLIリリースに合わせたPython SDKの公開。

セキュリティ修正により、WSL相互運用からの脱出と、シェルスナップショットによる認証情報の露出が防止されました。Memory v2はストレージと統合の基盤としてのみ導入されており、利用可能な機能ではありません。¹⁵⁶

v0.154.0（2026年9月9日）

このリリースは、おおむね0.154.0-alpha.6時点の内容で作成されました。そのため、alpha.7で初登場した機能（TUIのライブ音声、MCPユーザー検証、Memory v2、daemon自動更新の設定、推論エフォートの固定）は0.155まで見送られました。

削除：codex mcp-serverとスタンドアロンのcodex-mcp-serverバイナリ。連携機能はapp-serverプロトコルまたはClaude Code用Codexプラグインへ移行してください。Codexを外部MCPサーバーへ接続するcodex mcpには影響しません（「CodexをMCPサーバーとして実行する」を参照）。従来のGuardian承認レビューパスも削除されました。また、新しいユーザー指示によって承認が無効になった場合、その承認は拒否されるようになりました。

新機能：

• 実験的な管理対象worktrees： --worktreeまたは/worktreeから利用でき、codex execとTUIのworktreeブラウザにも対応しています。
• 非同期のユーザーメッセージ： 下書きを失うことなく、Codexが作業を続けている間にインラインの質問へ回答できます。
• Windowsサービス対応： sandboxのプロビジョニング、Windows上のapp-server daemon、管理対象daemonの更新。
• リモート権限プロファイル： app serverから検出され、TUIで名前を指定して選択できます。
• VimのR置換モード、コンテキストコンパクションのライブステータス、セッション開始時にモデルの対応状況によって制御される実験的なコンテキスト管理。

セキュリティ面では、ワークスペースの信頼が確立される前にPATHヘルパーが実行されなくなり、macOS sandboxはターミナル入力インジェクションに対して強化されました。MCP接続ではOAuthトークンの更新が調整され、リモートでの再開とフォークでは保存済みの権限が維持されます。別のアプリで開いている会話を再開すると、読み取り専用のトランスクリプトが表示されます。音声機能はランタイム基盤としてのみ含まれ、Daybreakを参照する最初のコードも入りましたが、公開ドキュメントはありませんでした。¹⁵²¹⁵³

v0.153.3とv0.153.4（2026年9月4日）

GPT-6-AstraのローンチをCLIへ反映した、同日公開のパッチです。v0.153.3ではAstraがAmazon Bedrockのカタログに追加され（GPT-5.6 Solは引き続きBedrockのデフォルト）、Astraの非同期確認に関するガイダンスが修正されました。v0.153.4ではAstraがモデルピッカーに追加され、モデル未設定時の同梱デフォルトとなりました。また、非同期質問のガイダンスに、ツールが利用可能な場合という条件が加わりました。

対応：Astraはv0.153.1以降で-m gpt-6-astraを指定して利用でき、v0.153.4以降ではピッカーに表示されます。CLIの最低バージョンは文書化されていないため、これらを下限として扱ってください。アカウントに同梱デフォルトとして選択されるモデルの利用資格がない場合は、デフォルトに任せず、config.tomlでmodelを明示的に設定してください。^145146147148

v0.153.1とv0.153.2（2026年9月3日）

v0.153.1では、Guardianのコンピューター操作スコアリングがモデル要件に従うようになりました。コンピューター操作のみのスコアリングと迅速な承認判断は、アクティブなモデルのメタデータでnode_repl_auto_review_requiredが設定されている場合にのみ実行されます。スコアリングを省略するモデルへ切り替えると、以前のスコアや処理中のスコアが無効になるため、元のモデルへ戻しても古い承認が復活することはありません。リリース本文に記載されているのは、APIから設定できるGPT-6-Astraカタログ項目のバックポートのみです。ピッカーとデフォルトはv0.153.4まで変更されませんでした。v0.153.2では、AstraのFast階層の説明が「1.5倍」から「速度2倍、使用量増加」へ修正されました（表示テキストのみ）。¹⁴²¹⁴³

v0.153.0（2026年9月3日）

• Vimの元に戻す／やり直し： uとCtrl+Rで、貼り付けた内容や画像添付を含むcomposerの下書き全体を復元できます。vim_normal.redoは設定可能なキーマップアクションです。
• リモートプラグインマーケットプレイス： プラグインCLIでリモートプラグインの一覧表示、インストール、削除ができ、codex plugin listには提供元、バージョン、インストールポリシー、認証ポリシーが表示されます。
• tui.auto_recap = falseで自動要約を無効にできます。手動の/recapは引き続き利用できます。
• PlusとTeamではレート制限警告が早めに表示されます。 約5時間の枠で残量が半分未満になった時点で警告されます。その他のプランでは75%、90%、95%のしきい値が維持されます。
• Guardianの適用範囲が承認モードに従うようになりました。 Full Accessでは確認のみを必要とするアクションのGuardianレビューを省略し、User承認モードではバックグラウンドスコアリングと事前ウォームアップを省略します。
• features.context_management.experimental_mode（デフォルトでは無効）を使うと、Codexバックエンド上の対象となるPlus、Pro、Pro Liteセッションで、トークン予算型コンテキスト、履歴メモ、new_contextツールが有効になります。
• tui.disable_paste_burstがトップレベルのキーに代わります。トップレベルのキーもフォールバックとして引き続き機能します。

修正点：app-serverとの接続が切れた後も、TUIセッションが下書きを維持したまま再接続されます。Guardianのレビュー履歴は、コンパクション、再起動、フォーク後も保持されます。記憶されたMCP承認は、選択中のアカウントに限定されます。¹⁴⁰

v0.152.0とv0.152.1（2026年9月1日）

update_planがオプトインになりました。 tools.update_plan.enabledのデフォルトはfalseです。無効な間は、同梱のupdate_planガイダンスがモデル、コラボレーションモード、multi-agent、コンパクション、事前ウォームアップ、目標継続の各プロンプトから削除されます（「Plan Modeとコラボレーション」を参照）。このほか、Vimで/と?による検索、およびn／Nが追加され、演算子と組み合わせて利用できます。新しい下書きはInsertモードで始まります。対応可能なレート制限バナー、Amazon Bedrockの再認証を含む認証情報更新の進行状況、パッケージ形式のMCPサーバー名（:、@、/、.を使用可能）、MCPのopenai/elicitationフォームリクエスト、ツール単位のMCP output_token_limit、信頼済みオリジンに限定されたクラウドタスク認証情報、設定可能なthread/shellCommandタイムアウト、モデルメタデータを通じてデフォルトで有効になるトークン予算管理も追加されました。v0.152.1では、Guardian承認レビューがNode REPLポリシーをモデルメタデータから取得できるようになりました。¹³⁸¹³⁹

v0.151.0（2026年8月29日）

• /recapで会話をオンデマンドに要約できます。また、Codexは対象となる非アクティブかつフォーカスされていない会話を自動的に要約します。
• code-modeホストからWebSocketトランスポートが削除されました（stdioとgRPCのみ）。
• ストアが対応している場合、永続スレッドはページ分割された履歴をデフォルトで使用します。
• persistent推論エフォートが、時計ツールおよび同梱のプロアクティブ動作ガイダンスとともに追加されました。
• Guardian v2では、画像を使用するコンピューター操作レビューがデフォルトになりました。
• Vimにf／F／t／Tの検索および直前移動と、gg／Gが追加されました。
• 権限昇格済みターミナルへの入力で、新しい承認を必須にできます（write_stdin_approval、デフォルトでは無効）。
• オプションのMCPサーバー向けに、設定可能な猶予期間（mcp_optional_startup_grace_ms、デフォルト1,000ミリ秒）が追加され、拡張機能からMCPツールの結果を検査または置換できるようになりました。

修正により、/cdでsandbox制限が弱まることがなくなり、権限変更後に古いGuardian分類がアクションを承認することもなくなりました。リリース本文には最後の数件のPRしか記載されていません。変更一式は比較ページで確認できます。¹³⁴¹³⁵

v0.150.0とv0.150.1（2026年8月26～27日）

hooksに、アクティブな最上位ターンが中断された際に実行されるInterruptイベントが追加されました（デフォルトのタイムアウトは1秒、上限は3秒、subagentsでは実行されません）。/copyでは、回答全体、個別のコードブロック、引用ブロックを選べるピッカーが開きます。タスクを@メンションで指定できるようになり、エージェントはタスクの読み取り、作成、メッセージ送信ができます。/renameでは編集可能なタイトルが提案されます。Markdownリンクはクリック可能なラベルとしてレンダリングされ、ショートカットで権限モードを順番に切り替えられます。Vimには.による繰り返しが追加され、信頼されていないプロジェクトのプロジェクトレベルAGENTS.md指示は読み込まれなくなりました。features.network_proxy.credential_brokerとGuardian v2のreview_scope.computer_use_onlyが、設定可能かつデフォルトで無効な機能として追加されました。v0.150.1では、保持された画像がリモートコンパクションのトークン予算に算入されるようになりました。¹³²¹³³

v0.149.0とv0.149.1（2026年8月20～24日）

untrusted承認ポリシーは廃止されました。 この値を指定している設定はon-requestへ移行してください。新機能として、対話型のcodex agentsダッシュボード、/cd、/pwd、/cwd、既存のローカルまたはリモートセッションへメッセージを送るcodex queue、Vimの追加変更モーション、機能が拡充されたcodex doctor（エンドポイント保護、ネットワークおよびプロキシ障害、デスクトップアプリの状態、更新への接続性）が追加されました。SDKsにはmax／ultra推論エフォートも加わりました。再開またはフォークされたスレッドでは、権限プロファイルが復元されます。v0.149.1では、codex exec --thread-source <SOURCE>が追加されました（user、subagent、memory_consolidation、または機能名。TypeScript SDKではthreadSource）。

同時期の料金変更として、OpenAIは8月21日から3か月間（少なくとも2026年11月21日まで）、GPT-5.6 Solの料金を20%以上引き下げました。また、SolのCodexクレジットレートも、入力、キャッシュ済み入力、出力の各100万トークンあたり125／12.5／750クレジットから100／10／500クレジットへ引き下げられました。^120121126

v0.147.0とv0.148.0（2026年8月7～18日）

v0.147.0では、codex exec --full-autoが削除されました（v0.128以降は非推奨）。--sandbox workspace-writeと承認フラグまたはプロファイルを組み合わせて使用してください。また、--approve-for-me、カタログ横断検索に対応するポータブルなAgent Plugins、オプトインのMCP 2026-07-28プロトコル、会話セクションが追加されました。v0.148.0では、Markdownへの/export、codex exec fork、/statusでの推定クレジットまたはコスト、組み込みプロバイダーとしてのAmazon Bedrock Runtime、非同期およびMCPを呼び出すhooks、拒否されたパスや読み取り不能なパスで安全側に失敗するsandbox制限が追加されました。¹¹⁶¹¹⁸

以前のリリース（2026年5～7月）

• v0.146.0とv0.146.1（7月29日、8月5日）： 設定済みプロキシがすべてのトランスポートに適用。Agent PluginsマニフェストとAmazon BedrockおよびClaude Codeマーケットプレイス、スレッド固定を伴うセッション命名、エグゼキューター提供のskills、サイバー能力を持つモデル向けに強化された自動レビューデフォルト。¹¹⁴¹¹⁵
• v0.145.0（7月21日）： CursorおよびClaude Codeからの/import、ストリーミングリアルタイムV3会話として復活した音声機能、安定化されたオプトインのmulti-agent v2体験、実験的なページ分割スレッド履歴とAmazon Bedrockログイン、同梱GPT-5.4選択項目のGPT-5.6 TerraおよびLunaへの移行。v0.144.6では、GPT-5.6のコンテキストウィンドウが272,000トークンに設定されました。¹¹¹¹¹²
• v0.140.0（6月15日）： /usage、codex deleteと/delete、Claude Codeからの/import、統合された@メンションメニュー、Amazon BedrockのAPIキー認証、CLIおよびMCPのOAuth認証情報向け暗号化ローカルストレージ。従来の/realtime音声操作は削除されました。¹⁰²
• v0.139.0（6月9日）： code modeからWeb検索を直接呼び出せるようになり、ツールスキーマでoneOf／allOfが保持され、codex doctorがエディターとページャーの詳細を報告し、マーケットプレイスの提供元がJSON出力に表示されるようになりました。¹⁶⁵
• v0.138.0（6月8日）： /appでCLIセッションをデスクトップアプリへ引き渡せるようになり、multi-agent v2では親からsubagentへ渡すタスクテキストが暗号化されました。¹⁶⁶¹⁰⁸
• v0.137.0（6月4日）： multi-agent v2、F13～F24のTUIキーバインド、v1 skills拡張。¹⁶⁷
• v0.132.0～v0.135.0（5月20～28日）： ローカル会話履歴の検索、主要なプロファイル選択手段となった--profile、デフォルトで有効になった目標、権限プロファイルの継承と管理対象requirements.toml、codex remote-controlの起動と停止、機能が拡充されたcodex doctorと/status、Vimテキストオブジェクト、/permissionsの名前付き権限プロファイル、Python SDK認証とSandboxプリセット、codex exec resume --output-schema。5月21日のアプリアップデートでは、Appshots、正式提供となったGoal mode、オプトインのロック付きComputer Useが追加されました。^{96979899100101176}

従来の--full-autoはv0.147.0で削除され、js_replも引き続き削除されたままです。^86878991116

安定性に関する注意： 安定しており文書化されている機能は、コアCLIとTUI、sandboxingと承認ポリシー、config.toml、AGENTS.md、skills、hooks、plugins、multi-agent tools、goals、権限プロファイル、/voiceと管理対象worktrees（v0.156.0以降デフォルト）、フルスクリーントランスクリプトとバックグラウンドサーバーの自動起動（v0.157.0以降デフォルト）です。Browser、Computer Use、Appshotsは文書化されたユーザー向け機能ですが、利用可否はプラットフォームとプランによって異なります。実験中または開発中の機能は、Codex Cloud、code mode、実験的なコンテキスト管理、Memory v2、ローカルエージェントメッセージボード、および本ガイドで[EXPERIMENTAL]と記載されたものや/experimentalに表示されるものです。これらはリリース間で変更される可能性があります。削除済み：--full-auto（v0.147.0）、untrusted承認ポリシー（v0.149.0）、codex mcp-server（v0.154.0）、js_repl。

Alphaチャンネル： alphaビルドは1日に数回公開され、alpha系のリリース本文はひな型のみです。古いベースから作られた通常系列外のビルドも定期的に登場します（直近では0.155.0-alpha.16.4、0.157.0-alpha.11.1、0.158.0-alpha.15.1、0.158.0-alpha.2.1）。npmのalphaタグがそのいずれかを指したことが少なくとも2回あり、@alphaによってlatestより古いビルドがインストールされました。0.158系は0.158.0-alpha.2（9月23日）からalpha.15（9月25日）まで続きましたが、安定版はリリースされませんでした。9月25日にalphaタグは0.159系へ移動し、現在は0.159.0-alpha.4です。alphaを追跡する場合は、npm view @openai/codex dist-tagsで確認し、@alphaではなく正確なバージョンを指定してインストールしてください。¹⁷²¹⁷⁵ 最近のalpha系がどのように安定版へまとまったかを日付順に記録した履歴は、¹⁷³にあります。

Codex の仕組み：メンタルモデル

機能を詳しく見ていく前に、Codex のアーキテクチャが、Codex を使ったあらゆる作業にどう影響するのかを理解しておきましょう。このシステムは、共通のインテリジェンスレイヤーに支えられた5つのサーフェスで動作します。

┌─────────────────────────────────────────────────────────┐
│                    CODEX SURFACES                       │
├─────────────────────────────────────────────────────────┤
│  ┌──────────┐  ┌──────────┐  ┌──────────┐  ┌────────┐   │
│  │   CLI    │  │ Desktop  │  │   IDE    │  │ Cloud  │   │
│  │ Terminal │  │   App    │  │Extension │  │  Tasks │   │
│  └──────────┘  └──────────┘  └──────────┘  └────────┘   │
│  Local exec     Multi-task    Editor-native  Async      │
│  + scripting    + worktrees   + inline edits detached   │
│  ┌──────────┐                                           │
│  │ Browser  │  Signed-in browser workflows              │
│  │Extension │  (launched May 2026)                      │
│  └──────────┘                                           │
├─────────────────────────────────────────────────────────┤
│  EXTENSION LAYER                                        │
│  ┌─────────┐  ┌─────────┐  ┌─────────┐  ┌─────────┐     │
│  │   MCP   │  │ Skills  │  │  Apps   │  │  Search │     │
│  └─────────┘  └─────────┘  └─────────┘  └─────────┘     │
│  External tools, reusable expertise, ChatGPT            │
│  connectors, web search (cached + live)                 │
├─────────────────────────────────────────────────────────┤
│  SECURITY LAYER                                         │
│  ┌─────────────────────────────────────────────────┐    │
│  │    Sandbox (Seatbelt / Landlock / seccomp)      │    │
│  │    + Approval Policy (on-request → never)       │    │
│  └─────────────────────────────────────────────────┘    │
│  OS-level filesystem + network restrictions             │
├─────────────────────────────────────────────────────────┤
│  CORE LAYER                                             │
│  ┌─────────────────────────────────────────────────┐    │
│  │         GPT-5.x-Codex Intelligence              │    │
│  │   Tools: Shell, Patch, Read, Web Search         │    │
│  │   (legacy artifact, read_file, grep_files       │    │
│  │    removed in v0.117.0)                         │    │
│  └─────────────────────────────────────────────────┘    │
│  Shared model across all surfaces; costs tokens         │
└─────────────────────────────────────────────────────────┘

コアレイヤー：すべてを支えているのが GPT モデルファミリーです。2026年9月23日現在、現行世代は GPT-6 です。日常的なコーディングから複雑なコーディングまで対応する gpt-6-sol、最も困難なエンドツーエンドの作業に対応する gpt-6-astra（モデル未設定時にバンドル版 CLI で使用されるデフォルトでもあります）、対象を絞った大量のタスクに適した gpt-6-luna が用意されています。GPT-5.6 モデル（Sol、Terra、Luna）もロールアウト期間中は引き続き利用できます。gpt-5.5（Codex では400Kコンテキスト、API では1M）は、ChatGPT サインインで利用する Codex から2026年10月14日に廃止され、gpt-5.4 は2026年8月31日に Codex から廃止されました。^{83117146148149171} このレイヤーは、ファイルの読み取り、パッチの書き込み、シェルコマンドの実行、コードベースに関する推論を担います。コンテキストがいっぱいになると、Codex は会話を圧縮して空き容量を確保します。このレイヤーではトークンを消費します。

セキュリティレイヤー：Codex が実行するすべてのコマンドは、OS レベルのサンドボックスを経由します。macOS では、Apple の Seatbelt フレームワークがカーネルレベルの制限を適用します。Linux では、Landlock + seccomp がファイルシステムとシステムコールへのアクセスをフィルタリングします。サンドボックスはコンテナ内ではなく、カーネルレベルで動作します。そのうえで、承認ポリシーが人間による確認を求めるタイミングを決定します。

拡張レイヤー：MCP は外部サービス（GitHub、Figma、Sentry）と接続します。skills は再利用可能なワークフローをパッケージ化し、Codex が必要に応じて読み込みます。アプリは ChatGPT コネクターと接続します。Web 検索は、インターネットからリアルタイムのコンテキストを追加します。

サーフェスレイヤー：CLI は、ターミナルのパワーユーザーと自動化に適しています。デスクトップアプリは、マルチスレッドのプロジェクト管理に使用します。IDE 拡張機能は、編集・コンパイル・テストのループを支えます。Cloud は、独立して実行される非同期タスクに対応します。

重要なポイント：ほとんどのユーザーが利用するサーフェスは1つだけです。パワーユーザーは5つすべてを使い分けます。長時間実行するタスクには Cloud、決定論的なリポジトリ操作には CLI、短いコーディングループには IDE 拡張機能、計画と調整にはデスクトップアプリ、サインイン済みのブラウザワークフローにはブラウザ拡張機能を使用します。

目次

1. Codex のインストール方法
2. クイックスタート：最初のセッション
3. 主要な操作サーフェス
4. 設定システムの詳細
5. どのモデルを選ぶべきか
6. Codex の料金
7. 意思決定のフレームワーク
8. サンドボックスと承認システムの仕組み
9. AGENTS.md の仕組み
10. Hooks
11. MCP（Model Context Protocol）とは
12. Code Mode
13. JavaScript REPL ランタイム
14. Skills とは
15. Plugins
16. Plan Mode とコラボレーション
17. メモリシステム
18. セッション管理
19. 非対話モード（codex exec）
20. Codex Cloud とバックグラウンドタスク
21. Codex Desktop App
22. GitHub Action と CI/CD
23. Codex SDK
24. パフォーマンスの最適化
25. 問題のデバッグ方法 – codex doctor を含む
26. エンタープライズ導入
27. ベストプラクティスとアンチパターン
28. ワークフローレシピ
29. 移行ガイド
30. クイックリファレンスカード
31. 変更履歴
32. 参照

Codex のインストール方法

パッケージマネージャー

# npm (recommended)
npm install -g @openai/codex

# Homebrew (macOS)
brew install --cask codex

# winget (Windows)
winget install OpenAI.Codex

# Upgrade to latest
npm install -g @openai/codex@latest

Codex CLI の更新、ダウングレード、アンインストール方法

Codex には v0.128.0 以降、自己更新コマンドが搭載されています。それ以外の操作はすべて、 インストール時に使用したパッケージマネージャーで行います。⁸⁶ v0.146.0 以降、リリースアーティファクト、チャンネルメタデータ、インストーラーのエイリアスは、OpenAI がホストするリリースインフラストラクチャから配信され、GitHub がフォールバックとして使用されます。¹¹⁴ ネットワークで Codex のインストールと更新用に GitHub を許可リストへ登録している場合は、OpenAI のリリースホストも追加してください。フォールバックがあるため、許可リストから漏れていても明確なエラーにはならず、気づかないまま動作が低下します。

# Check what you are running
codex --version                          # -> codex-cli 0.157.1
npm view @openai/codex version           # Latest published version

# Update
codex update                             # Built-in self-update (v0.128.0+)
npm install -g @openai/codex@latest      # Or update via npm
brew upgrade --cask codex                # Or via Homebrew

# Pin or downgrade to an exact version
npm install -g @openai/codex@0.144.6

# Uninstall
npm uninstall -g @openai/codex
brew uninstall --cask codex
winget uninstall OpenAI.Codex

リリースによって問題が発生した場合は、バージョンを固定するのが適切です。 Codex の安定版は速いペースで更新されるため、 正確なバージョンを指定してインストールするのが最速のロールバック方法です。問題を報告し、バージョンを固定して、作業を続けましょう。 PATH 上に別のインストールが隠れていると、古いバイナリがそのまま使われ続けるため、 codex --version でロールバックが反映されたことを確認してください（codex doctor では、まさにこの問題が Environment に表示されます）。

パッケージをアンインストールしても、状態データは削除されません。 認証情報、設定、セッション履歴は ~/.codex/ に保存されています。再インストール後もログイン情報と履歴を引き継ぐには、そのまま残してください。 完全に初期状態へ戻す場合にのみ削除します。rm -rf ~/.codex を実行すると、config.toml、 auth.json、保存済みの全セッションも失われます。

直接インストールスクリプト（v0.106.0 以降）

macOS と Linux では、GitHub のリリースアセットとして1行のインストールスクリプトが提供されています。⁶⁰

curl -fsSL https://github.com/openai/codex/releases/latest/download/install.sh | sh

このスクリプトはプラットフォームとアーキテクチャを自動検出し、適切なバイナリをダウンロードして PATH 上に配置します。

バイナリのダウンロード

npm または Homebrew を利用できない環境では、GitHub Releases¹ からプラットフォーム別のバイナリをダウンロードしてください。

システム要件

• macOS：Apple Silicon または Intel（Seatbelt による完全なサンドボックス対応）
• Linux：x86_64 または arm64（Landlock + seccomp によるサンドボックス）
• Windows：制限付きトークンを使用するネイティブサンドボックス（v0.100.0 で試験的機能から昇格）。WSL にも対応しています²

認証

codex login                  # Interactive OAuth (recommended)
codex login --device-auth    # OAuth device code flow (headless)
codex login --with-api-key   # API key from stdin
codex login status           # Check auth state (exit 0 = logged in)
codex logout                 # Clear stored credentials

認証方法は2つあります。

1. ChatGPT アカウント（推奨）：既存の Plus、Pro、Team、Business、Edu、または Enterprise サブスクリプションでサインインします。クラウドタスクを含むすべての機能を利用できます。
2. API キー：環境変数 CODEX_API_KEY または codex login --with-api-key で設定します。一部の機能（クラウドスレッド）は利用できない場合があります。

上級者向けのヒント：認証情報の保存方法は、config.toml の cli_auth_credentials_store で設定できます。選択肢は file（デフォルト）、keyring（OS のキーチェーン）、auto（利用可能ならキーチェーン、利用できなければファイル）です。

Amazon Bedrock ログイン（v0.145.0、試験的機能）： Amazon Bedrock 経由でモデルを利用するチーム向けに、カスタムエンドポイントと認証をサポートする試験的なログイン方法が追加されています。既存のマネージド API キー認証（v0.140.0 以降）や AWS 認証情報チェーンと併用できます（「カスタムモデルプロバイダー」を参照）。Bedrock のデフォルトモデルは GPT-5.6 Sol です。¹¹² v0.150.0 では、Amazon Bedrock モデルにおける会話のコンパクションとマルチエージェントの互換性が修正されています。¹³² v0.151.0 では、対象となる TUI サインインフローに、機能フラグで有効化する Amazon Bedrock オプションが追加されました。オンボーディング時に既存の AWS プロファイルと環境内の認証情報を検出し、プロファイル、アクセスキー、環境変数、Bedrock API キーの手動設定を選択できます。さらに、AWS Region の入力、入力中のシークレットのマスク、プロバイダー変更時の組み込みサーバーの再起動にも対応しています。¹³⁵ v0.152.0 では、認証情報の更新状況が表示されるようになりました。モデルプロバイダーが期限切れの認証情報を更新している間、TUI と codex exec に進行状況が表示されます。Amazon Bedrock セッションの再認証も対象です。これは、スレッド、ターン、プロバイダー、ユーザー向けメッセージを含む、安定版の modelProvider/authRecoveryStarted および modelProvider/authRecoveryCompleted アプリサーバー通知によって実現されています。¹³⁸

シェル補完

# Generate completions for your shell
codex completion bash > /etc/bash_completion.d/codex
codex completion zsh > ~/.zsh/completions/_codex
codex completion fish > ~/.config/fish/completions/codex.fish

インストールの確認

codex --version
# codex-cli 0.157.1

クイックスタート：最初のセッション

5分で、何もない状態から実際に作業できるところまで進めます。

1. インストールして認証する：

npm i -g @openai/codex          # Install
codex login                      # Log in with your OpenAI account

2. プロジェクトへ移動する：

cd ~/my-project                  # Any git repo works

3. Codex を起動する：

codex

対話型 TUI が表示されます。Codex はプロジェクト構造を自動的に読み取ります。

4. 質問する：

> What does this project do? Summarize the architecture.

Codex が主要なファイルを読み取り、コードベースについて説明します。このような質問では変更は行われません。Codex がファイルにパッチを適用するのは変更を依頼した場合のみで、事前に確認が必要かどうかはサンドボックスと承認ポリシーによって決まります。

5. 変更を加える：

> Add input validation to the login endpoint

Codex が編集内容を diff として提案します。内容を確認し、y で承認するか、n で拒否してください。

6. slash commands を使用する：

> /plan Refactor the database layer to use connection pooling

Codex は実行せずにプランを作成します。プランを確認してから、承認すると実行が始まります。

7. 作業内容を確認する：

> /diff

現在のセッションで Codex が加えたすべての変更を確認できます。

次のステップ： - AGENTS.md にプロジェクトの指示を設定する（AGENTS.md の仕組みを参照） - ワークフロー用のプロファイルを設定する（プロファイルを参照） - 非対話型の自動化に codex exec を試す（非対話モードを参照）

コアとなる操作インターフェース

Codexには、同じインテリジェンスを基盤とする5つの異なるインターフェースがあります。それぞれが異なるワークフローパターンに最適化されています。

1. 対話型CLI（ターミナルUI）

codex                        # Launch TUI
codex "fix the failing tests" # Launch with initial prompt
codex -m gpt-6-sol          # Specify model
codex --sandbox workspace-write --ask-for-approval on-request

ターミナルUIは、次の要素を備えたフルスクリーンアプリです。

• コンポーザー：プロンプトの入力、@によるファイル添付、!プレフィックスによるシェルコマンドの実行
• 出力ペイン：モデルの応答、ツール呼び出し、コマンド出力をストリーミング表示
• ステータスバー：モデル、トークン使用量、gitブランチ、sandboxモードを表示

主なTUIショートカット：

ステータス行の変更（v0.121.0）： ステータス行にあった従来のコンテキストウィンドウメーターは、コンテキストウィンドウの使用率を示すコンテキスト割合インジケーターに置き換えられました。ステータス行を解析するスクリプトやhooksがある場合は、この形式変更に対応しているか確認してください。⁸² 新しいバージョンが利用可能になると、CodexはCLIのアップデート通知も表示します。

TUIで利用できるslash commands：

ワークフローピッカーの再設計（v0.129.0）： 再設計されたピッカーからresumeとforkへ簡単にアクセスできるようになりました。また、新しいraw scrollbackモードでは、コマンドやモデル出力をそのままコピーしたいときに、レンダリング前のトランスクリプトをスクロールできます。長時間のデバッグセッションを切り分ける場合や、出力を別のツールへ渡す場合に便利です。⁸⁹

統合@メンションメニュー（v0.140.0）： コンポーザーで@を入力すると、従来のファイル専用添付フローに代わり、ファイル、プラグイン、skillsを横断する単一のメンションメニューがデフォルトで開くようになりました。1回のキー操作で、あらゆるプロジェクトリソースを参照できます。¹⁰²

2. Codex Desktop App（macOS + Windows）

codex app                    # Launch desktop app (auto-installs if missing)

デスクトップアプリには、CLIにはない次の機能があります。

• マルチタスク：異なるプロジェクトで複数の並列agentsを同時に実行
• Git worktreeによる分離：各スレッドがリポジトリの分離されたコピーで作業
• インラインdiffレビュー：アプリを離れずに変更をステージ、取り消し、コミット
• 統合ターミナル：スレッドごとにコマンド実行用ターミナルを提供
• 会話のフォーク：会話を分岐させて別の選択肢を検討
• フローティングポップアウトウィンドウ：会話を切り離し、移動可能なウィンドウとして表示
• Automations：定期タスクをスケジュール（issueのトリアージ、CI監視、アラート対応）
• Appshots：最前面にあるMacアプリのウィンドウを、スクリーンショットと取得可能なテキストとともにスレッドへ添付
• アプリ内ブラウザーコメント：ローカルまたは公開ページをプレビューし、要素や範囲にコメントを残して、Codexに具体的なビジュアルフィードバックへの対応を依頼
• Computer Use：許可されたMacアプリをCodexに操作させ、範囲を限定したGUI作業を実行。対象となるリモートMac Computer Useターンでは、ロック状態での使用をオプトイン可能

GPT-Liveを搭載したChatGPT Voice（desktop 26.715、2026年7月23日）：デスクトップアプリを音声で操作できるようになりました。入力せずに作業について会話し、Chat、Work、Codexを横断してタスクを調整できます。macOSでは、Screen contextを有効にすると、最前面ウィンドウのappshotが会話に共有されます。見ている内容を説明せず、そのまま質問できます。Plus、Pro、Business、Edu、Enterpriseで利用でき、デスクトップアプリのほか、iOSのRemoteからも使用できます。これはデスクトップインターフェースの音声機能です。CLIには、独立した音声機能として、TUIでの/voiceライブ会話（v0.156.0以降はデフォルトで有効）と、スペースバーによる音声入力（v0.105.0で実験的に追加）があります。¹¹³¹⁶⁹

共有スレッドスナップショット（2026年8月20日）：すべてのCodexプランで、macOSデスクトップアプリからローカルCodexスレッドの読み取り専用スナップショットを共有できます。元のスレッドが変更されても、スナップショットは更新されません。個人アカウントのリンクはリンクを知っている全員が開けますが、ワークスペースアカウントのリンクは共有元ワークスペースのメンバーだけが開けます。Codexは共有前に既知のシークレットパターンを編集して隠しますが、機密情報が残る可能性があるため、OpenAIは共有内容を確認するよう案内しています。リンクの確認や取り消しは、ChatGPTのデータコントロールにあるShared linksから行えます。¹²⁸

アプリとCLIの使い分け：複数の作業フローを調整する場合や、視覚的にdiffをレビューする必要がある場合は、デスクトップアプリを使用します。ターミナルとの組み合わせ、スクリプト、CI/CD統合を重視する場合は、CLIを使用してください。

3. IDE拡張機能（VS Code、Cursor、Windsurf）

Codex IDE拡張機能は、エディターに直接統合されます。

• デフォルトのAgentモード：ファイルの読み取り、編集、コマンド実行
• インライン編集：アクティブなファイル内でコンテキストを考慮した提案を表示
• 共有セッション：CLIとIDE拡張機能の間でセッションを同期
• 同じ認証方式：ChatGPTアカウントまたはAPIキーでサインイン

VS Code Marketplace、またはCursor／Windsurfの拡張機能ストアからインストールできます。³

4. Codex Cloud [EXPERIMENTAL]

Cloudタスクは、OpenAIが管理する環境で非同期に実行されます。

• 開始後は任せられる実行方式：ローカルマシンとは独立して動作するタスクをキューに追加
• 並列実行：複数のcloudタスクを同時に実行
• PR作成：Codexが完了した作業からpull requestを作成
• ローカルへの適用：codex apply <TASK_ID>でcloudの結果をローカルリポジトリに取り込み

codex cloud list             # List recent cloud tasks
codex apply <TASK_ID>        # Apply diff from a specific cloud task

Cloudタスクには、chatgpt.com/codexからもアクセスできます。⁴

5. ブラウザー拡張機能（Chrome、Edge、Brave、Opera、Vivaldi）

Codexは、Google Chrome、Microsoft Edge、Brave、Opera、Vivaldi向けのブラウザー拡張機能としても提供されています。CLI、デスクトップアプリ、IDE拡張機能、cloudに続く5つ目のインターフェースです。拡張機能は2026年5月にChrome向けとして登場し、2026年8月25日の変更履歴で残る4つのブラウザーにも対応しました。ChatGPTデスクトップアプリのSettings > Computer Useから設定できます。5つのブラウザーすべてでタブのメンションとブラウザー操作を利用できます。ただしOperaはサイドチャットに対応していないため、タスクはデスクトップアプリから開始します。この拡張機能は、通常のブラウジングを乗っ取るのではなく、そばで支援するよう設計されています。Codexはバックグラウンドで複数のタブを並行して操作し、どのサイトにアクセスさせるかは常にユーザーが管理できます。⁹⁰¹²⁷

• タブの並列実行：フォアグラウンドのタブを占有せず、Codexが複数のタブを同時に操作します。
• サイト単位の制御：Codexによる操作を許可するWebサイトを許可リストで指定します。デフォルトではアクセスできません。
• 作業台としてのブラウザー：この拡張機能は、ページ自体が信頼できる情報源となるアプリやWebサイト上の作業に適しています。たとえば、管理コンソール、社内ダッシュボード、コンテンツ管理UI、チケットシステムなどです。ローカルリポジトリで使うCLIの代替ではありません。
• 同じ頭脳：ブラウザー拡張機能では、ほかのインターフェースと同じGPT-5.x-Codexインテリジェンスが動作します。そのため、CLIで機能するAGENTS.mdやskillsの設定は、ブラウザーを操作する作業にも同じ規約として引き継がれます。

ブラウザー拡張機能のドキュメントからインストールできます。このページは以前、Codex for Chromeというタイトルでした。¹²⁷

設定システムの詳細

Codex は設定に TOML を使用します。設定が競合した際にどれが優先されるかを決めるため、優先順位の理解が重要です。

優先順位（高い順）

1. セッションオーバーライド（最高）：CLI フラグ（--model、--sandbox、--ask-for-approval、--search、--enable/--disable、--profile）および -c key=value オーバーライド
2. プロジェクト設定（.codex/config.toml。CWD からプロジェクトルートまで上位へたどって検出され、最も近いディレクトリが優先されます）
3. ユーザー設定（$CODEX_HOME/config.toml。デフォルトは ~/.codex/config.toml）
4. システム設定（Unix では /etc/codex/config.toml）
5. 組み込みのデフォルト値（最低）

requirements.toml はポリシー制約レイヤーとして機能し、通常の設定を統合した後にユーザーが選択できる値を制限します。エンタープライズデプロイをご覧ください。

設定ファイルの場所

上級者向けヒント：CODEX_HOME 環境変数を設定すると、デフォルトの ~/.codex ディレクトリを変更できます。CI/CD や複数アカウントの構成に便利です。

デスクトップの複数フォルダープロジェクト（26.715、2026年7月23日）：ChatGPT デスクトップアプリのローカルプロジェクトで、関連する複数のフォルダーを扱えるようになりました。そのうち1つをプライマリフォルダーとして指定します（プロジェクトメニュー → プロジェクトを編集）。config.toml の自動検出はプライマリフォルダーだけを対象に実行されます。セカンダリフォルダーもファイルの検索、読み取り、編集には利用できますが、設定には反映されません。セカンダリフォルダーにある .codex/config.toml は Codex が読み取れるファイルにすぎず、設定としては読み込まれません。これはデスクトップアプリにおけるプロジェクトのスコープ設定であり、前述の優先順位ルールが変更されたわけではありません。CLI は引き続き、現在の作業ディレクトリから上位へたどってプロジェクト設定を解決します。¹¹³

設定の完全な参照

# ~/.codex/config.toml — annotated reference

# ─── Model Selection ───────────────────────────────────
model = "gpt-6-sol"                    # Docs' example default; unset = bundled default (gpt-6-astra)
model_provider = "openai"               # Provider (openai, oss, or custom provider id)
model_context_window = 272000           # Token count available to active model (override)
model_auto_compact_token_limit = 200000 # Threshold triggering automatic history compaction
model_reasoning_effort = "medium"       # minimal|low|medium|high|xhigh (model-dependent)
model_reasoning_summary = "auto"        # auto|concise|detailed|none
model_verbosity = "medium"              # low|medium|high
personality = "pragmatic"               # none|friendly|pragmatic
review_model = "gpt-6-sol"             # Optional model for /review command
service_tier = "fast"                  # Preferred service tier for new turns
oss_provider = "lmstudio"              # lmstudio|ollama (used with --oss)

# ─── Sandbox & Approval ───────────────────────────────
sandbox_mode = "workspace-write"        # read-only|workspace-write|danger-full-access
approval_policy = "on-request"          # on-request|never (untrusted retired in v0.149.0)

[sandbox_workspace_write]
writable_roots = []                     # Additional writable paths
network_access = false                  # Allow outbound network
exclude_tmpdir_env_var = false          # Exclude $TMPDIR from sandbox
exclude_slash_tmp = false               # Exclude /tmp from sandbox

# ─── Web Search ────────────────────────────────────────
web_search = "live"                     # Web search mode (constrained by allowed modes)

# ─── Tools ─────────────────────────────────────────────
tools.update_plan.enabled = false       # Planning tool opt-in (v0.152.0); exposes update_plan when true

# ─── Instructions ──────────────────────────────────────
developer_instructions = ""             # Additional injected instructions
model_instructions_file = ""            # Custom instructions file path
compact_prompt = ""                     # Custom history compaction prompt

# ─── Shell Environment ─────────────────────────────────
allow_login_shell = false               # Allow login shell semantics (loads .profile/.zprofile)

[shell_environment_policy]
inherit = "all"                         # all|core|none
ignore_default_excludes = false         # Set true to keep KEY/SECRET/TOKEN vars
exclude = []                            # Glob patterns to exclude
set = {}                                # Explicit overrides
include_only = []                       # Whitelist patterns

# ─── Authentication ────────────────────────────────────
cli_auth_credentials_store = "file"     # file|keyring|auto
forced_login_method = "chatgpt"         # chatgpt|api
mcp_oauth_callback_port = 0            # Fixed port for MCP OAuth callback (0 = random)
mcp_oauth_credentials_store = "auto"   # auto|file|keyring

# ─── History & Storage ─────────────────────────────────
[history]
persistence = "save-all"                # save-all|none
max_bytes = 0                           # Cap size (0 = unlimited)

tool_output_token_limit = 10000         # Max tokens per tool output (global; per-tool MCP overrides in v0.152.0)
log_dir = ""                            # Custom log directory
sqlite_home = ""                        # Override SQLite-backed resumable state location

# ─── UI & Display ──────────────────────────────────────
file_opener = "vscode"                  # vscode|vscode-insiders|windsurf|cursor|none
hide_agent_reasoning = false
show_raw_agent_reasoning = false
check_for_update_on_startup = true

[tui]
notifications = false                   # Enable notifications
notification_method = "auto"            # auto|osc9|bel
animations = true
show_tooltips = true
alternate_screen = "auto"               # auto|always|never
status_line = ["model", "context-remaining", "git-branch"]

# ─── Project Trust ─────────────────────────────────────
project_doc_max_bytes = 32768           # Max AGENTS.md size (32 KiB)
project_doc_fallback_filenames = []     # Alternative instruction filenames
project_root_markers = [".git"]         # Project root detection

# ─── Feature Flags ─────────────────────────────────────
# Use `codex features list` for current names/stages/defaults.
[features]
shell_tool = true                       # Shell command execution (stable)
unified_exec = true                     # PTY-backed exec (stable)
shell_snapshot = true                   # Shell env snapshots (stable)
enable_request_compression = true       # zstd request compression where supported (stable)
fast_mode = true                        # Service-tier selection and Fast-tier commands (stable)
goals = true                            # Goal mode; stable and on by default in v0.133.0+
hooks = true                            # Lifecycle hooks (stable)
multi_agent = true                      # Enable multi-agent collaboration tools (stable)
personality = true                      # Personality selection (stable)
plugins = true                          # Plugin system (stable)
plugin_hooks = true                     # Plugin-bundled hooks (stable)
plugin_sharing = true                   # Workspace plugin sharing (stable)
browser_use = true                      # In-app browser automation (stable)
browser_use_external = true             # Browser-extension browser use (stable)
computer_use = true                     # macOS Computer Use (stable, plan/region gated)
in_app_browser = true                   # Shared rendered-page preview (stable)
image_generation = true                 # Image-generation tool (stable)
guardian_approval = true                # Auto-review approval path (stable)
skill_mcp_dependency_install = true     # Prompt/install missing skill MCP deps (stable)
tool_suggest = true                     # Tool/plugin suggestion surface (stable)
workspace_dependencies = true           # Workspace dependency discovery (stable)
memories = true                         # Memories (experimental)
network_proxy = false                   # Sandboxed-command network proxy (experimental); boolean or table, see below
prevent_idle_sleep = true               # Keep machine awake during active turns (experimental)
terminal_resize_reflow = true           # Terminal reflow improvements (experimental)

# Removed or deprecated feature names still appear in `codex features list`
# for migration diagnostics. Do not set removed flags such as
# `collaboration_modes`, `request_rule`, `codex_git_commit`,
# `apply_patch_freeform`, `search_tool`, or `js_repl` in new configs.

# ─── Multi-Agent Roles (v0.102.0+) ───────────────────
[agents]
max_threads = 4                         # Maximum concurrent agent threads

[agents.explorer]
description = "Read-only codebase navigator"
config_file = "~/.codex/profiles/explorer.toml"

# ─── Notifications ────────────────────────────────────
notify = ["terminal-notifier", "-title", "Codex"]  # Command for notifications

# ─── Per-Project Overrides ────────────────────────────
[projects."/absolute/path/to/repo"]
trust_level = "trusted"                 # Per-project trust override

features.network_proxy は boolean | table です。 boolean 形式はプロキシの起動または停止だけを行い、table 形式にはポリシーを指定します。サンドボックス化されたコマンドに対し、権限プロファイルのドメインルールを適用するのがこのプロキシです。無効にすると、[permissions.<name>.network] のドメインルールは適用されず、コマンドからネットワークへ直接アクセスします。Web 検索、アプリ、MCP servers、その他のホスト型ツールはフィルタリングしません。¹³⁰

[features.network_proxy]
enabled = true
allow_local_binding = false
proxy_url = "http://127.0.0.1:3128"

[features.network_proxy.domains]
"api.github.com" = "allow"
"*.npmjs.org" = "allow"          # subdomains only
"**.example.com" = "deny"        # apex plus subdomains; deny wins on conflicts

管理者が管理する requirements.toml の experimental_network 要件により、features.network_proxy を指定しなくてもプロキシを起動できます。¹³⁰

プロファイル

作業モードごとに名前を付けた設定プリセットです。Codex 0.134.0 以降、各プロファイルは独立したファイルとなり、トップレベルのキーだけを含む ~/.codex/<name>.config.toml に保存されます。--profile <name> を指定すると、そのファイルが ~/.codex/config.toml に重ねて適用されます。以前のように config.toml 内へ記述する [profiles.<name>] テーブルや、トップレベルの profile = "<name>" セレクターは読み込まれなくなりました。古い [profiles.<name>] テーブルが残っていると、そのキーをプロファイルファイルへ移動するまで、--profile <name> を指定しても起動できません。¹²²

# ~/.codex/fast.config.toml
model = "gpt-6-luna"
# GPT-6 Sol/Luna start on the Fast tier (2.5x credits) unless service_tier is set; check /fast status
model_reasoning_effort = "low"
approval_policy = "on-request"
sandbox_mode = "workspace-write"
personality = "pragmatic"

# ~/.codex/careful.config.toml
model = "gpt-6-astra"
model_reasoning_effort = "xhigh"
approval_policy = "on-request"   # `untrusted` retired in v0.149.0
sandbox_mode = "read-only"

# ~/.codex/auto.config.toml
model = "gpt-6-sol"
# GPT-6 Sol/Luna start on the Fast tier (2.5x credits) unless service_tier is set; check /fast status
model_reasoning_effort = "medium"
approval_policy = "never"
sandbox_mode = "workspace-write"

プロファイルファイルは、基本のユーザー設定より上位で、プロジェクト設定および CLI 設定より下位のレイヤーです。そのため、基本設定と異なる値だけを記述すれば十分です。¹²²

プロファイルを有効にするには、次のようにします。

codex --profile fast "quick refactor"
codex --profile careful "security audit"
codex -p auto "fix CI"

上級者向けヒント：設定のトップレベルに profile = "fast" を指定すると、デフォルトのプロファイルを設定できます。セッションごとに変更する場合は --profile を使用します。

カスタムモデルプロバイダー

Azure、AWS Bedrock、ローカルモデル、またはプロキシサービスへ接続します。

[model_providers.azure]
name = "Azure OpenAI"
base_url = "https://YOUR_PROJECT.openai.azure.com/openai"
wire_api = "responses"
query_params = { api-version = "2025-04-01-preview" }
env_key = "AZURE_OPENAI_API_KEY"

# Built-in amazon-bedrock provider (v0.123.0+, first-class in v0.124.0+)
# AWS SigV4 signing + credential-based auth; AWS profile selectable via the
# nested `aws.profile` field (NOT a top-level `aws_profile` key).
# v0.130.0+ also accepts credentials from `aws login` (the AWS console-login
# flow) — Codex resolves the cached console-login session for the chosen
# profile if static keys are absent.
# v0.140.0+ adds managed Amazon Bedrock API-key authentication, and stores
# CLI and MCP OAuth credentials in encrypted local storage.[^184]
[model_providers.amazon-bedrock]
name = "Amazon Bedrock"

[model_providers.amazon-bedrock.aws]
profile = "default"                   # any profile from ~/.aws/credentials
# Region/credential resolution otherwise follows the standard AWS chain;
# v0.130.0 added support for `aws login` console-login profiles in addition
# to static access keys and IAM role assumption.[^168]

[model_providers.ollama]
name = "Ollama (Local)"
base_url = "http://localhost:11434/v1"
wire_api = "chat"

警告： chat/completions の wire API（wire_api = "chat"）は OpenAI がホストするモデルで非推奨となり、OpenAI は2026年2月に廃止を発表しました。³⁴ ローカルプロバイダー（Ollama、LM Studio）では、引き続きこの形式を利用できる場合があります。OpenAI のエンドポイントには、代わりに wire_api = "responses" を使用してください。

--oss フラグを使用してローカルモデルを利用します。

codex --oss "explain this function"               # Uses default OSS provider
codex --oss --local-provider lmstudio "explain"   # Explicit LM Studio
codex --oss --local-provider ollama "explain"      # Explicit Ollama

または、設定内で指定します。

model_provider = "oss"
oss_provider = "lmstudio"   # or "ollama"

インライン設定オーバーライド

コマンドラインから任意の設定値をオーバーライドできます。

codex -c model="gpt-5.5" "refactor the API"
codex -c 'sandbox_workspace_write.network_access=true' "install dependencies"
codex -c model_reasoning_effort="xhigh" "debug the race condition"

どのモデルを選ぶべきですか？

利用可能なモデル（2026年9月）

GPT-5.5（2026年4月23日）は公開当初、複雑なコーディング、コンピューター操作、知識作業、調査ワークフローなど、ほとんどのCodexタスクに対してOpenAIが推奨していたモデルです。ChatGPT Plus / Pro / Business / Enterprise / Edu / Goでは4月23日にCodex CLI / web / desktopで、OpenAI APIでは4月24日に提供されました。コンテキストウィンドウはCodexで400K、APIで1Mです。Codexでは、サブスクライバーのティア間でスループットとコストのバランスを取るため、ウィンドウを400Kに制限しています。APIでは完全な1Mを利用できます。料金（API）は、MTokあたり入力$5 / 出力$30です（GPT-5.4の2倍。OpenAIによれば、トークン効率の改善を考慮した実質的な上昇率は約20%）。ベンチマークは、Terminal-Bench 2.0で82.7%（公開モデルの中で当時のSOTA）、GDPval（44職種）で84.9%、OSWorld-Verifiedで78.7%、Tau2-bench Telecom（プロンプト調整なし）で98.0%です。OpenAIは公開前にGPT-5.5とCodexを社内で使用して配信インフラを書き直し、トークン生成速度を20%向上させました。⁸³

GPT-5.5は、ChatGPTサインインを使用するCodexで2026年10月14日に提供終了となります。モデルのドキュメントでは、提供終了の対象を全プラン（一般ユーザー、Business、Enterprise、Eduを含む）のChatGPT、ChatGPT Work、Codexに限定し、OpenAI APIには適用されないと明記しています。¹⁵⁵ GPT-6の公開に伴い、代替モデルの案内も変更されました。Plus、Pro、Business、Enterprise、Eduではgpt-6-solを、FreeおよびGoではデスクトップアプリでgpt-6-lunaを、それぞれ「利用可能になり次第」選択してください。ワークスペースのデフォルト、保存済みのモデル設定、管理対象の設定、カスタムエージェント、スケジュール済みタスク、スクリプトにあるgpt-5.5を置き換えてください。¹⁷¹

GPT-5.4とGPT-5.4 miniは、ChatGPTサインインを使用するCodexで2026年8月31日に提供終了となりました。¹¹⁷ モデルのドキュメントでは、現在gpt-6-solとgpt-6-lunaが代替モデルとして案内されています（EnterpriseとEduでは、最初に管理者がLunaを有効にする必要があります）。APIキーによる利用には影響しません。⁶⁴¹⁷¹ 正確なモデル一覧は、アカウントやロールアウト状況によって異なります。ローカルキャッシュは~/.codex/models_cache.jsonで確認できます。

非推奨化に関する注記（2026年3月11日）：GPT-5.1モデルはChatGPTで利用できなくなりました。既存の会話はGPT-5.3 Instant、GPT-5.4 Thinking、またはGPT-5.4 Proで自動的に継続されます。GPT-5.1-Codex-Miniは、2026年7月23日に提供終了となるまでAPIとCLIで引き続き利用できました。⁷¹⁸⁸

無料ティアに関する注記（2026年5月5日）：GPT-5.5 Instantは、2026年5月5日にChatGPTの無料ティアへ展開されました。これによりGPT-5.5ファミリーの対象ユーザーは有料プラン以外にも広がりましたが、Codex CLIを利用するには、引き続き対象となるPlus / Pro / Business / Enterprise / Edu / GoサブスクリプションまたはAPIキーが必要です。⁹²

GPT-5.4 mini（2026年3月17日）：GPT-5.4を小型化、高速化したバリアントです。コンテキストは400K、料金はMTokあたり$0.75/$4.50で、GPT-5.4の割り当ての30%しか使用しません。サブエージェントへの委任に最適です。GPT-5.4に計画と調整を任せ、GPT-5.4 miniのサブエージェントには、コードベースの検索、ファイルのレビュー、ドキュメント処理など、より狭いサブタスクを並列で処理させられます。⁷⁶

Bedrock GPT-5.6（Sol、Terra、Luna）（v0.143.0、2026年7月8日）：Codexでは、Amazon Bedrockでホストされる3種類のGPT-5.6モデルバリアントが正式にサポートされ、maxの推論強度にも対応しました。Bedrockプロバイダー経由でモデルを利用するチームは、ほかのカスタムプロバイダーモデルと同じ方法で選択できます（「カスタムモデルプロバイダー」を参照）。maxの推論強度は、最も難しい推論やエージェント型ワークロードを対象としています。¹⁰⁶ v0.144.6（2026年7月18日）では、Sol、Terra、Lunaに同梱される指示が更新され、コンテキストウィンドウが272,000トークンに修正されました。¹¹¹ v0.145.0（2026年7月21日）では、カスタムエンドポイントと認証に対応する試験的なBedrockログインが追加され、GPT-5.6 SolがBedrockのデフォルトモデルになりました。また、同梱のGPT-5.4モデル選択は、対応するTerraおよびLunaバリアントへ移行されました。¹¹²

GPT-6-Astra（2026年9月3日公開、v0.153.1〜v0.153.4でCodexに導入）：日付を明示した経緯は次のとおりです。2026年9月3日にv0.153.1でAPI専用のカタログ項目が準備され、同日にOpenAIがGPT-6-Astraを発表しました。9月4日には、v0.153.4で選択画面への項目追加と、同梱CLIのデフォルト変更が行われました。発表では、限られた組織（まずサイバーセキュリティプログラムのパートナー）から開始し、ChatGPT Plus、Pro、Business、Enterpriseへ「数日かけて」拡大する段階的なロールアウトに加え、OpenAI APIとAWSでの提供について説明されています。これらのロールアウト情報は報道（CNBC、Axios、Forbes、Al Jazeera、9to5Mac）に基づきます。¹⁴⁵ 9月4日に更新された情報として、OpenAIはXで、GPT-6 Astraが「ChatGPT WorkとCodexのすべてのPro、Enterprise、Business Premiumユーザーに提供開始され」、「APIでも稼働中」であり、PlusとBusinessにも数日以内に提供予定だと発表しました。同日の夜にはCodex責任者のTibo Sottiauxが、「AstraはすべてのPlusおよびBusinessユーザーにもロールアウトされました」と追記しています。それでも、実際の利用資格にはばらつきがあります。9月5日のコミュニティ報告では、PlusアカウントでもCodexにGPT-5.6モデルしか表示されない事例が確認されています。また、以下で引用するモデルのドキュメントの利用可否に関する記述は変わっていないため、引き続きそれが有効な一次情報となります。¹⁴⁹ 一次情報のドキュメントも公開されています。APIのモデルページでは、gpt-6-astraを「最も難しいエンドツーエンド作業向けに構築された、最も高性能なモデル」としてフラッグシップに位置付けています。仕様は、標準の短コンテキスト料金が入力$10/MTok、出力$50/MTok、コンテキストウィンドウ1.05Mトークン、最大入力922,000トークン、最大出力128K、知識カットオフは2026年4月30日です。また、長コンテキストのティアも明記されています。入力が272Kトークンを超えるプロンプトでは、リクエスト全体に入力2倍、出力1.5倍の料金が適用され、料金ページでは入力$20/MTok、出力$75/MTokとなっています。GPT-5.6 Terra（バランス型）やLuna（低コスト型）より上位であり、CodexのドキュメントではAstraを推奨Codexモデルとしています。利用可否は「ロールアウト、サインイン方法、クライアントによって異なる」とされ、Pro、Business（$100）、Enterpriseアカウントが対象として挙げられています。文書化されたAstraのCodex推論レベルは、Low、Medium、High、Extra High、Max、Ultraです。ドキュメントのモデルページではMediumがデフォルトとされていますが、v0.153.4の同梱カタログではdefault_reasoning_levelがlowに設定されています。そのため、実際のデフォルトは利用画面によって異なるものと考え、セッション内で/statusを確認してください。9月15日の再確認時点でも推論レベルは変わっておらず、レベルごとの選択画面の説明が追加されています（Ultraの原文：「Maximum reasoning with automatic task delegation」）。MaxとUltraにはSDKの確認が付いています。Python SDK 0.154.0リリース（2026年9月10日）では、maxとultraの推論強度値が追加されました（#39662）。^146148153 CLIでは、v0.153.1からAstraをAPIで設定でき（-m gpt-6-astra）、v0.153.3でAmazon Bedrockのカタログに加わりました（v0.157.0でGPT-6 Solに変更されるまで、GPT-5.6 SolがBedrockのデフォルトでした¹⁷⁴）。v0.153.4以降はモデル選択画面に表示され、モデルが明示的に設定されていない場合の同梱デフォルトになっています。CLIの最小バージョンは文書化されていないため、これらを実質的な最低バージョンと考えてください。このデフォルト変更は同梱CLIカタログの仕様であり、すべての利用画面に共通するものではありません。ただし、cloudとの差はその後解消されました。9月4日と9月7日の確認時点では、AstraはCodex cloudで利用不可（GPT-5.6 Solは利用可能）とされていましたが、9月15日の再確認では、利用可否マトリクスでAstraもCodex cloudで利用可能になっています。ページには引き続き「現在、Codex cloudチャットのデフォルトモデルは変更できません」と記載されています。ロールアウト上の注意点として、利用資格はアカウントによって異なります。CLI 0.153.4以降では、ロールアウト対象外のアカウントにも、まだ実行できないモデルが同梱デフォルトとして設定されます。確実にモデルを選択するには、config.tomlでモデルを固定するか、-mを渡してください。v0.156.1以降、ドキュメント自体の例にはmodel = "gpt-6-sol"が使われています。モデルページにFastティアの記載はありませんが、AstraのFastモード料金は文書化されています。Codexの速度に関するドキュメントでは、ChatGPTサインイン時に「利用可能な場合」、Standardの2.5倍のクレジットを消費するとされています。APIの料金ページでは、Fastモードの料金は該当するStandard料金のちょうど2倍で、短コンテキストは$20/$100、長コンテキストは$40/$150（いずれもMTokあたり）です。v0.153.2のカタログ文字列にある「2x speed」という記述は、引き続きカタログ上の表示テキストにすぎません。速度に関するページでは、Astraの速度倍率は明記されていません。^145146147148 2026年9月23日時点で一部更新：モデルのドキュメントでは、Astraを推奨Codexモデルと説明しなくなりました。「Recommended models」セクションではGPT-6 SolとLunaが先に挙げられ、Astraは「最も難しいエンドツーエンド作業」向けとされ、Codex cloudでは利用不可と記載されています。また、Astraの開始時の推論強度はLight（low）とされ、同梱カタログと一致しています。モデルが未設定の場合、Astraは引き続き同梱CLIのデフォルトです。¹⁷¹

AstraでのPowerプリセット（2026年9月6日以前にドキュメントへ追加）：Codexのモデルに関するドキュメントでは、モデル選択画面のPowerオプションとGPT-6-Astraの推論ティアの対応が示されるようになりました。これはPowerプリセットとAstraの対応を示した最初のドキュメントです。この段落は¹⁴⁶の9月5日時点の再確認では存在せず、9月7日に公開が確認されました。原文は次のとおりです。「For eligible Pro, Business ($100), and Enterprise accounts, the Astra rollout updates the Power options to Terra Light, Sol Light, Sol Medium, Astra Light, Astra Medium, and Astra Extra High. Options can differ by plan and rollout stage.」直前の文では、選択画面の図が依然としてGPT-5.6のコントロールを示していると説明されています。上記のモデル表と併せて読むと、「Power」はGPT-5.6 Solのmedium推論を意味していましたが、対象アカウントでは、同じプリセットの段階に固定の推論レベルを持つTerra、Sol、Astraが含まれるようになりました。選択肢は引き続きプランとロールアウト段階によって異なります。この段落は、2026年9月15日の再確認時点でも原文のまま変更されていません。¹⁴⁶ 2026年9月23日更新：GPT-6 SolとLunaの公開後、ドキュメントでは6つのPowerプリセットが「Luna High、Sol Light（開始プリセット）、Sol Medium、Astra Light、Astra Medium、Astra Extra High」と記載されています。一部の有料プランにはAstra Extra Highが含まれないことも説明され、SolはMedium、LunaはHigh、AstraはLight（low）から始めることが推奨されています。¹⁷¹

コンテキスト間の試験的なメモ機能（Astra、ドキュメント公開済み、オプトイン）：Codexのモデルに関するドキュメントには、「Experimental context management」という見出しのセクションがあります。原文は次のとおりです。「On supported Codex clients, users signed in with ChatGPT Plus or Pro can opt in to experimental context management. Astra keeps notes across context windows and can search earlier messages and tool results from the same task. This experiment is off by default and isn’t available with Business, Enterprise, or API-key sign-in at launch.」オプトイン方法の原文は次のとおりです。「To opt in, set features.context_management.experimental_mode = true in your config.toml, then start a new task.」これはv0.153.0で導入されたfeatures.context_management.experimental_modeと同じ設定項目です（「コンテキスト管理」を参照）。v0.153.0のリリースノートでは対象となるPlus、Pro、Pro Liteのセッションが挙げられていましたが、現在のドキュメントではAstraとPlusおよびProサインインが明示的に関連付けられています。v0.154.0ではコード側の条件が厳格化され、セッション開始時にアクティブなモデルの機能に基づいて試験機能の利用資格が判定されるようになりました（#43147）。このドキュメントのセクションは、2026年9月15日の再確認時点でも原文のまま変更されていません。試験的な機能であり、デフォルトでは無効です。動作と利用条件は今後変更される可能性があります。^140146152 v0.157.0：同梱モデルカタログでは、GPT-6-Astraを含むすべての同梱モデルについて、試験的コンテキストへの対応を示す設定が削除されました（#47397）。CLIがこの試験機能を有効にするのは、対応モデルとして指定されている場合のみです。そのため、同梱カタログではオプトインしても効果がありません。サインイン済みアカウントに配信されるカタログに違いがあるかどうかは文書化されていません。2026年9月26日時点でも、モデルのドキュメントにはオプトインについて記載されています。¹⁷⁴

モデル選択フローチャート

Is this a quick fix, extraction, or other well-defined repeatable task?
├─ Yes → gpt-6-luna (most efficient; docs suggest starting at High)
└─ No
   ├─ Do you need real-time pairing speed?
   │  ├─ Yes → gpt-5.3-codex-spark (near-instant, Pro only)
   │  └─ No
   │     ├─ Hardest end-to-end work across many steps and tools?
   │     │  ├─ Yes → gpt-6-astra (strongest; bundled default when no model is set)
   │     │  └─ No → gpt-6-sol (everyday and complex coding; start at Medium)
   └─ GPT-6 not yet available on your account? → gpt-5.6-sol

推論強度

応答前にモデルがどの程度「考える」かを制御します。

対応するレベルはモデルによって異なります。minimalを利用できるのはGPT-5モデルのみです。すべてのモデルが全レベルに対応しているわけではありません。

persistentの詳細（v0.151.0）：persistentの推論強度で実行するターンでは、現在時刻のリマインダーと中断可能なclock.sleepツールがデフォルトで有効になります（明示的なfeatures.current_time_reminder設定と管理対象の要件は維持されます）。また、モデルのメタデータからpersistent_instructionsを使って上書きまたは無効化できる、プロアクティブな動作とフォローアップのガイダンスが同梱されています。¹³⁵

codex -c model_reasoning_effort="xhigh" "find the race condition"

上級者向けのヒント：同じプロンプトでも、xhighの推論ではmediumの3〜5倍のトークンを消費する場合があります。追加の思考に見合う、本当に難しい問題に限定して使用してください。

TUIの推論クイックコントロール（v0.124.0以降）。⁸⁵ 対話型TUIセッションでは、Alt+,で推論レベルを1段階下げ、Alt+.で1段階上げられます。セッション中に難しい問題へ直面し、/effortや-cを使わず、一時的にmedium → high → xhighと引き上げたい場合に便利です。セッション中にモデルのアップグレードを受け入れると、以前の推論レベルは引き継がれず、新しいモデルのデフォルトにリセットされます。

モデルの切り替え

セッション中は/model slash commandでモデルを切り替えられます。また、--model / -mを使用して実行ごとに設定できます。

codex -m gpt-5.3-codex-spark "pair with me on this component"

Codex の料金はいくらですか？

機能についてはモデルの選択、タスクごとに適切なモデルを選ぶ方法については判断フレームワークもご覧ください。

ChatGPT プランからのアクセス

Codex を利用できるかどうかは、ChatGPT のプランと組織の設定によって異なります。⁵¹

2026年4月の料金改定： Business の年払い料金は、1シートあたり月額$25から$20に引き下げられました。従量課金制の Codex 専用シートも、Business および Enterprise ワークスペースで利用できるようになりました。固定シート料金はなく、トークン消費量に応じて請求されます。⁷⁹ 料金ページでは、2026年2月の Desktop App リリース時に示されたプロモーション用の2x倍率ではなく、モデル別の範囲（上表を参照）が掲載されるようになりました。¹⁶¹⁶²

2026年5月の利用上限引き上げ（2026年5月31日に終了）： Plus プランの Codex では、5時間あたりの上限が標準の20×ではなく25×となり、同じ期間中は月額$100の階層も2倍に引き上げられました。⁸⁹

TUI のレート制限 UX（v0.152.0～v0.153.0）： 上限に達しても、そこで操作が行き詰まることはなくなりました。v0.152.0では、コンポーザーの上部に操作可能なレート制限バナーが表示されます。利用状況の確認、クレジットの管理、上限のリセット、ワークスペース所有者への通知、プランの管理が可能です。表示内容は認証済みのアカウントとユーザーに応じて絞り込まれます。上限エラーの後には利用状況が更新され、バナーに指示がある場合は、関連しないスレッド設定を変更せず、最初に利用可能なフォールバックモデルへ Codex が切り替わります。¹³⁸ v0.153.0では、Plus および Team プラン向けの警告が早めに表示されるようになりました。約5時間の利用枠で残量が半分未満になると警告が発生します。その他のプランや異なる長さの利用枠では、従来どおり75%、90%、95%のしきい値が使われます。¹⁴⁰

クレジット消費量

Codex の操作では、プランに割り当てられたクレジットが消費されます。

これらは Standard 速度の料金です。料金ページによると、GPT-6 のリリース後も GPT-5.6 Sol、Terra、Luna の料金は「変更なし」とされています。実際には、「GPT-5.6 の利用では1メッセージあたり平均5～30クレジット」が消費されます（8月のアクセス開始時点では5～40と記載されていました）。GPT-6 Astra、Sol、Luna の Fast モードは、「利用可能な場合」に Standard の2.5倍のクレジットを消費します。また、バンドルされたカタログでは、service_tierを設定しない限り、TUI の GPT-6 Sol と Luna で Fast がデフォルト階層となります。予想よりも早くクレジットが減る場合は、/fast statusを確認してください。画像生成では、同等のテキストのみのターンと比べて、含まれている利用上限を3～5倍速く消費します。¹⁶²¹⁷¹

Enterprise および Edu プランでは、契約上の割り当てに応じてクレジットが拡張されます。現在の利用状況は、TUI の/statusで確認してください。

API の請求

API 経由で Codex を使用する場合、OpenAI は、選択したモデルの標準的な OpenAI API 料金に基づいて、トークン単位で利用料を請求します（該当する場合はプロンプトキャッシュの割引も適用されます）。100万トークンあたりの現在の API 料金は、GPT-6 Sol が入力$2 / 出力$10、GPT-6 Luna が$0.10 / $0.50、GPT-6 Astra が$10 / $50です。3モデルとも、入力が272Kトークンを超えるプロンプトでは、リクエスト全体に対して入力料金が2倍、出力料金が1.5倍となり、Fast モードの料金は2倍です。¹⁴⁶¹⁷¹ ChatGPT のクレジット倍率は、API キーによるサインインには適用されません。現在の料金は、公式 API 料金ページで確認してください。²⁰

コスト最適化の方法

1. プロファイルを使う：日常的なタスク向けに、gpt-6-lunaとmodel_reasoning_effort = "low"を設定したfastプロファイルを作成します
2. 高い推論レベルは難しい作業用に取っておく：xhighはトークン消費量が3～5倍になるため、本当に難しい問題にだけ使用します
3. --ephemeralを使う：CI/CD ではセッションの永続化を省き、オーバーヘッドを減らします
4. 推論要約を最小限にする：説明が不要な場合は、model_reasoning_summary = "none"を設定します
5. exec モードでまとめて処理する：codex execを使うと、自動化ワークフローで TUI のオーバーヘッドを回避できます
6. 利用状況を監視する：TUI の/statusと組織の請求ダッシュボードを確認します。v0.148.0以降、対象のワークスペースでは、/status、ステータス行、ターミナルタイトルにスレッドの推定クレジットまたはコストが表示されます¹¹⁸

実際のコスト例

一般的なタスクにかかる代表的な API コストです（2026年半ば時点の gpt-5.3-codex 料金のスナップショット、推論レベルは medium。モデルが変わっても相対的な規模は参考になります）。

コストは、推論レベル、キャッシュ、会話の長さによって変わります。日常的なタスクではgpt-5.6-lunaを使うと、支出を大幅に抑えられます。キャッシュ済みの入力トークンには割引料金が適用されます。

表面に現れないトークンのオーバーヘッド

ツールを呼び出すたびに、表示されているプロンプト以外のトークンも追加されます。

上級者向けのヒント： 実際の利用状況は、TUI の/statusで監視してください。トークン数には、表示されるメッセージだけでなく、すべてのオーバーヘッドが含まれます。予想外にコストが高い場合は、接続中の MCP サーバー数を確認しましょう。サーバーごとに、すべての API 呼び出しへツール定義が追加されます。

チームのコスト管理

チームのコストを管理する方法： - requirements.tomlを設定することで、組織全体にモデルと推論レベルの制限を適用します - CI/CD ではgpt-5.6-lunaを使う — 自動化パイプラインで最高レベルの推論が必要になることはほとんどありません - プロファイルベースで予算を管理する — コスト上限を適切に設定したci、review、devプロファイルを定義します - OpenTelemetry で監視する — Enterprise 環境では、利用状況のテレメトリを既存のオブザーバビリティスタックへエクスポートできます

判断フレームワーク

各インターフェースを使い分ける場面

各 sandbox mode を使い分ける場面

各推論レベルを使い分ける場面

Plan Mode と直接実行

Will Codex need to change more than 3 files?
│
├── YES → Use Plan Mode (/plan)
│         Codex designs the approach BEFORE making changes.
│         You review and approve the plan.
│         Best for: refactors, new features, migrations
│
└── NO → Is the change well-defined?
         │
         ├── YES → Direct execution
         │         Just describe the task. Codex executes immediately.
         │         Best for: bug fixes, small features, test additions
         │
         └── NO → Use Plan Mode (/plan)
                  Let Codex explore and propose an approach first.
                  Best for: unfamiliar codebases, ambiguous requirements

Steer Mode：Enter と Tab

目安：Enter =「止まって、今すぐこれを聞いてください」。Tab =「今の作業が終わったら、これも実行してください」。

Desktop App と CLI

How do you prefer to work?
│
├── Terminal-first → Use CLI
│   │
│   ├── Single focused task → codex (interactive TUI)
│   ├── Scripted automation → codex exec (non-interactive)
│   └── Quick one-shot → codex exec "prompt" -o result.txt
│
└── Visual/multi-project → Use Desktop App
    │
    ├── Multiple parallel tasks → Multi-thread with worktree isolation
    ├── Visual diff review → Built-in Git diff viewer
    ├── Scheduled automation → Automations tab
    └── Voice-driven → Ctrl+M for voice dictation

どのプロファイルを選ぶべきか

タスクに合った事前設定済みのプロファイルを選びます。

プロファイルファイル（各プリセットにつき1つ、~/.codex/ 内。従来の単一ファイルによる profile = "default" + [profiles.*] レイアウトは、0.134.0 以降読み込まれません¹²²）：

# ~/.codex/fast.config.toml
model = "gpt-6-luna"
# GPT-6 Sol/Luna start on the Fast tier (2.5x credits) unless service_tier is set; check /fast status
model_reasoning_effort = "low"

# ~/.codex/careful.config.toml
model = "gpt-6-astra"
model_reasoning_effort = "xhigh"

# ~/.codex/pair.config.toml
model = "gpt-5.3-codex-spark"
model_reasoning_effort = "high"

# ~/.codex/ci.config.toml
model = "gpt-6-luna"
# GPT-6 Sol/Luna start on the Fast tier (2.5x credits) unless service_tier is set; check /fast status
model_reasoning_effort = "low"
sandbox_mode = "workspace-write"

セッションごとにプロファイルを切り替えるには、codex --profile careful を使用します。

Sandbox と承認システムはどのように機能しますか？

Codex は、技術的に可能な操作と、Codex が人間の承認を求めるタイミングを分離する、2層のセキュリティモデルを採用しています。このアプローチは Claude Code の権限システムとは根本的に異なり、Codex は OS のカーネルレベルで制限を適用します。⁵ 管理者が組織全体に適用する requirements.toml の制約については、エンタープライズ導入もご覧ください。

v0.148.0 の堅牢化： Linux と Windows の両方で、sandbox の制限がフェイルクローズになりました。拒否されたパスや読み取れないパスは、暗黙的に許可されるのではなく、ブロックされたものとして扱われます。¹¹⁸

レイヤー1：Sandbox（可能な操作）

sandbox は、OS ネイティブの仕組みを使用してファイルシステムとネットワークへのアクセスを制御します。

プラットフォーム固有の制限適用：

• macOS：Apple の Seatbelt フレームワークを sandbox-exec 経由で使用します。モードごとのプロファイルが実行時にコンパイルされ、カーネルによって適用されます。⁶ v0.121.0 以降、macOS の sandbox プロファイルでは特定の Unix ソケット（docker.sock やエディターの IPC ソケットなど）を許可リストに追加でき、プライベート DNS の名前解決もデフォルトではブロックされなくなりました。⁸²
• Linux：ファイルシステムの制限には Landlock、システムコールのフィルタリングには seccomp を使用します。独立したヘルパープロセス（codex-linux-sandbox）により、多層防御の分離を実現しています。⁵ Bubblewrap（bwrap）は Linux ビルドの一部として同梱・コンパイルされます（v0.100.0 で任意機能から昇格）。⁷ v0.117.0 では、従来型のカーネル設定を使用する古いディストリビューションでの sandbox の信頼性が向上しました。⁷⁵ v0.129.0 では Linux の sandbox 起動処理が堅牢化され、同梱の Bubblewrap が上流のセキュリティパッチを含む 0.11.2 に更新されました。v0.130.0 では起動処理がさらに強化されています。⁸⁹⁹¹
• Windows：制限付きトークンを使用するネイティブ sandbox です（v0.100.0 で実験的機能から昇格）。WSL にも対応しています（Linux の Landlock と seccomp を継承）。v0.117.0 では、プロセス分離を改善する制限付きトークン sandbox の強化が含まれています。⁷⁵ v0.130.0 では、sandbox ユーザーにデスクトップのランタイムバイナリキャッシュへのアクセスを許可し、ワークスペース sandbox のユーザーが Windows sandbox 内でランタイムバイナリを確実に解決できるようになりました。⁹¹

これが重要な理由：コンテナベースの sandbox（Docker）とは異なり、OS レベルの sandbox は高速かつ軽量で、脱出も困難です。Codex がシステムコールを認識する前に、カーネルが制限を適用します。

セキュリティ修正： - zsh-fork による sandbox 回避（v0.106.0）： zsh のフォークを介したシェル実行により、sandbox の制限を回避できる脆弱性が修正されました。⁶⁰ それ以前のバージョンを使用している場合は、ただちにアップグレードしてください。 - 入力サイズの上限（v0.106.0）： 極端に大きいペイロードによる停止を防ぐため、Codex は約100万文字の入力上限を適用するようになりました。⁶⁰ - 安全な devcontainer プロファイル（v0.121.0）： Docker devcontainer 向けに新しい堅牢なカスタマープロファイルが追加され、コンテナ内の sandbox に Bubblewrap を使用します。WSL2 はサポートされますが、WSL1 は明示的に拒否されます（Bubblewrap は WSL1 のカーネルシムと互換性がありません）。⁸² - Guardian レビューと hooks（v0.121.0）： Guardian サブエージェントの判断にツール実行前後の hooks が干渉しないよう、Guardian のレビューセッション中は hooks が無効になります。⁸² ログ記録や検証を hooks に依存している場合、Guardian レビューではそれらがスキップされる点に注意してください。完全な監査証跡が必要な場合は、app-server のオブザーバビリティを利用しましょう。 - Linux の /dev ファイルシステム（v0.105.0）： Linux 上で sandbox 化されたコマンドに最小構成の /dev ファイルシステムが提供されるようになり、デバイスノードを必要とするツールとの互換性が向上しました。⁶¹

ReadOnlyAccess ポリシー（v0.100.0以降）： 読み取りアクセスを細かく制御するための設定可能なポリシー形式です。workspace-write モードでも、Codex が読み取れるディレクトリを制限するために使用できます。

[sandbox_workspace_write]
read_only_access = ["/etc", "/usr/local/share"]  # Only these paths readable outside workspace

レイヤー2：承認ポリシー（確認するタイミング）

承認ポリシーでは、Codex が処理を一時停止して人間の確認を求めるタイミングを決定します。

on-failure は古い例や互換性維持のための処理に残っていますが、現在の OpenAI 設定ドキュメントでは非推奨とされています。対話型の実行では on-request、外部の安全境界がすでに設けられている非対話型の実行では never を推奨します。⁸⁷

v0.150.0 以降、コンポーザーから権限モードを順番に切り替えるキーボードショートカットを割り当てられます。/keymap で設定してください。¹³²

個別の承認 ID（v0.104.0以降）

複数ステップのシェル実行に含まれる各コマンドへ、Codex が個別の承認 ID を割り当てるようになりました。これにより承認が細分化され、シーケンス内の1つのコマンドを承認しても、同じシェル呼び出し内の後続コマンドが自動的に承認されることはありません。⁴⁹

柔軟な承認制御（v0.105.0以降）

承認フローで、追加の sandbox 権限と個別の拒否を利用できるようになりました。⁶¹

• 追加の sandbox 権限：現在の sandbox モードを越えるアクセスがコマンドに必要な場合、モード全体の変更を求めるのではなく、必要な追加権限だけを Codex が要求できます
• 個別の拒否：ツール呼び出しを個別に拒否してフィードバックを与えられるため、Codex は同じコマンドを単に再試行するのではなく、アプローチを調整できます

実行時の権限要求（v0.113.0以降）

Codex に組み込みの request_permissions ツールが追加され、モデルが実行時に追加権限を要求できるようになりました。⁶⁹ 昇格されたアクセス権を必要とするタスクに遭遇した場合、暗黙的に失敗したり、異なるフラグでの再起動をユーザーに求めたりせず、TUI の承認フローを通じて特定の権限（ファイルシステムのパスやネットワークアクセスなど）を正式に要求できます。

アプリ承認モード writes（v0.144.0以降）

アプリとコネクターに中間の承認レベルが追加されました。writes アプリ承認モードでは、アプリが読み取り専用として宣言したアクションは確認なしで実行し、書き込みを伴う操作では引き続き一時停止して確認を求めます。¹⁰⁷ 従来のアプリ承認は全許可か全拒否に近いものでしたが、writes は多くの運用者が連携機能に求める信頼モデルに合致します。つまり、閲覧は自由に、変更は確認してから行います。

自動レビューされる承認：--approve-for-me（v0.147.0以降）

新しい --approve-for-me CLI フラグを使用すると、承認プロンプトが自動レビューされる承認に変わります。処理を中断して確認を求める代わりに、各リクエストがレビューパスで判定され、代理で承認または拒否されます。¹¹⁶ これは、「すべて承認する」（削除済みの --full-auto が促していた姿勢）と「すべての操作で中断する」の中間に位置します。プロンプトは判断ポイントとして残りますが、回答するのはレビュアーです。このフラグには、v0.146.1 で導入されたサイバー対応モデル向けの、より安全な自動レビューデフォルトが継承されます。これは権限の委任として扱ってください。中断すると停止してしまう長時間の無人実行には適していますが、自分自身でレビューしたい認証情報や本番環境の状態に触れるセッションには適していません。

昇格されたターミナル入力の承認（v0.151.0）

write_stdin_approval 機能フラグはデフォルトで無効です。有効にすると、昇格された unified-exec ターミナルへ空でない入力を送信する前に、改めて承認が必要になります。このレビューは hooks、Guardian、app server、TUI を経由して writeStdin 承認として処理されます。ターミナルの環境、起動ディレクトリ、昇格状態はターンをまたいで維持され、承認後、バイト列を書き込む前にプロセスの同一性が再検証されます。完全にフォーマットされたアクションと承認理由は8,000バイト以内に収める必要があります。サイズ超過または切り詰められたアクションは、承認が要求される前、かつターミナルへ何かが送られる前に拒否されます。¹³⁵

権限プロファイル（v0.113.0以降、v0.128.0およびv0.133.0で拡張）

権限プロファイルでは、ファイルシステムとネットワークの sandbox ポリシーを、名前付きで再利用可能なセクションに分割できます。default_permissions には :read-only や :workspace などの組み込みプロファイルを設定するか、カスタムの [permissions.<name>] テーブルを指定します。⁸⁷ v0.133.0 では、プロファイルが管理対象の機能へ昇格しました。リスト API で利用可能なプロファイルのメタデータを公開できるほか、プロファイル間の継承、管理対象の requirements.toml による権限要件の宣言、実行時のアクティブプロファイル更新に対応しています。また、Windows の sandbox 設定では、個別に用意されたアドホックなポリシーではなく、解決済みのプロファイルを使用するようになりました。⁹⁸

default_permissions = "project-safe"

[permissions.project-safe.filesystem]
"/usr/local" = "read"
glob_scan_max_depth = 3

[permissions.project-safe.filesystem.":project_roots"]
"." = "write"
"**/*.env" = "none"

[permissions.project-safe.network]
enabled = true
mode = "limited"

[permissions.project-safe.network.domains]
"api.github.com" = "allow"
"registry.npmjs.org" = "allow"

プロジェクトルートが書き込み可能な場合でも読み取らせたくない機密ファイルや glob には、none を使用してください。単発のコマンド例外には、プロファイルを広範囲に拡張するよりもルールを使用することを推奨します。⁸⁷

v0.151.0： 復元された app-server スレッドでは、権限プロファイルが従来のターン単位の sandbox オーバーライドに平坦化されず、そのまま維持されます。プロファイルはターンのルーティングや互換性のある /cd によるディレクトリ変更をまたいで保持されます。復元したプロファイルを従来の sandbox モードとして安全に表現できない /cd は、暗黙的に制限を弱めるのではなく拒否されます。¹³⁴

従来の --full-auto に関するガイダンス

古いガイドでは、--full-auto を次の設定の便利なエイリアスとして説明していました。

codex --sandbox workspace-write --ask-for-approval on-request

v0.128.0 のリリースノートでは --full-auto が非推奨とされ、現在の CLI ヘルプにも対話型実行用のオプションとして掲載されていません。代わりに、上記の明示的なフラグまたは名前付きの権限プロファイルを使用してください。⁸⁶

v0.147.0 で削除が完了し、codex exec --full-auto は使用できなくなりました。 このフラグを渡し続けているスクリプトは、実行されずエラーになります。移行作業は単純で、--sandbox workspace-write に置き換えてください（従来の呼び出しが --full-auto の承認動作に依存していた場合は、承認フラグまたはプロファイルも追加します）。アップグレード前に、codex exec をシェルから呼び出すすべての自動化を監査してください。問題は非推奨警告ではなく、パイプラインの失敗として現れます。¹¹⁶

Sandbox の信頼性（v0.129.0）： Linux の sandbox 起動処理の堅牢化により、低速なファイルシステムやシンボリックリンクを使ったチェックアウトで発生する競合が軽減されました。Windows の sandbox に関する信頼性向上では、長時間実行時に発生する複数のエッジケースのクラッシュが解消されています。また、同梱の Bubblewrap は上流のセキュリティパッチを含む 0.11.2 に更新されました。設定変更は不要です。これらの修正を適用するには codex update を実行してください。⁸⁹

推奨設定

日常的な開発（安全なデフォルト）：

sandbox_mode = "workspace-write"
approval_policy = "on-request"

パワーユーザー向け（フルアクセス、人間による確認あり）：

sandbox_mode = "danger-full-access"
approval_policy = "on-request"   # `untrusted` retired in v0.149.0

コミュニティの記事では、この組み合わせが「最適なバランス」として推奨されています。⁸ ただし、その助言をそのまま採用する前に、実際の動作を理解しておきましょう。承認プロンプトは、コマンドが sandbox の外へ出る場合やネットワークへアクセスする場合に表示されますが、danger-full-access はその両方の境界を取り除きます。そのため、on-request で昇格の対象となる操作はほとんど残りません。これは、すべてのコマンドを人間が確認する最大権限の構成ではなく、確認を最小限に抑えた最大権限の構成です。前者を求める場合は workspace-write を維持し、sandbox の境界によって確認を発生させてください。¹²³

CI/CD の自動化：

sandbox_mode = "workspace-write"
approval_policy = "never"

Guardian サブエージェントによるスマート承認（v0.115.0以降）

スマート承認では、すべてのアクションについて人間の承認を求める代わりに、レビューリクエストを Guardian サブエージェントへ送れます。Guardian のセッションは承認をまたいで維持されるため、プロンプトキャッシュを再利用でき、起動時のオーバーヘッドを回避できます。各レビューにはクリーンな履歴が与えられ、過去の判断が後続のレビューに影響することはありません。⁷³

config.toml でレビュアーを設定します。

approvals_reviewer = "guardian_subagent"   # "user" (default) or "guardian_subagent"

これは、包括的に approval_policy = "never" を指定するのではなく、推論を伴う自動レビューを行いたい CI/CD ワークフローで特に便利です。

Guardian v2 のデフォルト変更（v0.151.0）： Guardian v2 では、画像を含む computer-use レビューがデフォルトになりました。features.guardianv2.review_scope.computer_use_only のデフォルトは true です。より広範なツールレビュー範囲を維持するには false に設定してください。また、features.guardianv2.transcript.include_images のデフォルトも true です。Guardian のトランスクリプトに画像を含めない場合は false に設定します。どちらも v0.150.0 では設定可能かつデフォルト無効の機能としてリリースされ、v0.151.0 でデフォルトが有効になりました。¹³⁵

Guardian の対象範囲は承認モードに従います（v0.153.0）： 2つのモードでは、結果を変えられない Guardian の処理をスキップするようになりました。Full Access（approvalPolicy: "never" と無制限の権限をすでに組み合わせたモード）では、確認のみを目的とする Guardian と MCP のリクエストが、同期レビュー、サンプラーの事前ウォームアップ、バックグラウンドスコアリングなしで承認されます。保留中、失敗、または制限付きの環境は Full Access として扱われません。また、アクティブな権限状態はターンごとに再評価されるため、既存のスレッドでも安全に Full Access へ移行したり、そこから離れたりできます。ユーザー承認モード（approvals_reviewer = "user"）では、Guardian の事前ウォームアップと非同期スコアリングがスキップされ、通常の node_repl.js 実行確認は自動的に受け入れられます。一方、機密性の高いアクションのチェックとユーザー入力の要求については、従来の動作が維持されます。¹⁴⁰ ここで絞り込まれるのは Guardian が実行されるタイミングであり、人間による承認レイヤーではありません。このガイドで説明している、on-request で danger-full-access を使用した場合の確認動作は、Guardian とは別の仕組みである承認ポリシーによるものです。さらに v0.152.1 では、Guardian の承認レビューがモデルのメタデータ（auto_review.node_repl_policy）から Node REPL ポリシーを取得できるようになり、このフィールドがない場合は同梱のポリシーへフォールバックします。¹³⁹

Guardian の computer-use スコアリングはモデル要件に従います（v0.153.1）： computer-use のみに限定された Guardian のスコアリングと迅速な承認判断は、アクティブなモデルのメタデータに node_repl_auto_review_required が設定されている場合にのみ実行されるようになりました。また、モデルの切り替えによってスコアリングがスキップされる場合、過去または処理中のスコアは無効化されます。そのため、レビュー対象のモデルへ戻しても、古い承認判断が復活することはありません。これは v0.153.1 パッチの主要な変更点ですが、リリース本文には記載されていません。#42422（38ba8cdc の cherry-pick）は、rust-v0.153.0…rust-v0.153.1 の比較でのみ確認できます。¹⁴²

Guardian による親スレッドのコンパクション再利用がデフォルトで有効になりました（v0.156.0）： #46522 で guardian_reuse_parent_compaction が安定版機能へ昇格し、デフォルトで有効になりました。これにより、Guardian がレビューセッションを再起動する際、親スレッドの暗号化されたコンパクションを再利用できます。PR のテストによると、親の履歴が変更された場合、キャッシュ済みのレビューセッションは引き続き無効化されます。以前の動作に戻すには： config.toml の [features] で guardian_reuse_parent_compaction = false を設定するか、codex features disable guardian_reuse_parent_compaction を実行してください。¹⁶⁹¹⁷¹

Guardian のスレッドコンテキストがデフォルトで有効になりました（v0.157.0）： #47275 で guardianv2.thread_context が安定版へ昇格し、同期および非同期の Guardian レビューで有効になりました。これにより、レビューではスレッドが所有するコンテキストが使用されます。この設定は Guardian v2 の enabled トグルとは独立しており、明示的な設定とプロファイルによるオーバーライドは維持されます。無効にするには： config.toml の [features.guardianv2] で thread_context = false を設定してください。¹⁷⁴

PowerShell 分類器の厳格化（v0.142.2）： 安全性分類器が検査できない実行可能な AST 領域を含む PowerShell コマンドは、自動承認をすり抜けるのではなく、承認が必要になりました。これにより、難読化された PowerShell や動的に構築された PowerShell が Windows 上で分類を回避できる問題が解消されています。¹⁰⁵

危険なコマンドの検出範囲を拡大（v0.144.5）： より多くの強制的な rm の形式を検出できるようになりました。また、拒否されたコマンドには不明瞭な拒否ではなく、より明確な拒否理由が返されます。承認ポリシーを調整する際に、コマンドがブロックされた理由を把握するのに役立ちます。¹¹⁰

ネットワークアクセスの有効化

Codex は workspace-write モードで、ネットワークアクセスをデフォルトでブロックします。必要に応じて有効にしてください。

# Per-run
codex -c 'sandbox_workspace_write.network_access=true' "install the packages"

# In config.toml
[sandbox_workspace_write]
network_access = true
writable_roots = ["/path/to/extra/dir"]   # Additional writable directories
exclude_slash_tmp = false                  # Prevent /tmp from being writable
exclude_tmpdir_env_var = false             # Prevent $TMPDIR from being writable

WebSocket プロキシ対応（v0.104.0以降）

WebSocket トラフィックをプロキシ経由で転送する企業環境向けに、Codex は WS_PROXY と WSS_PROXY の環境変数をサポートするようになりました。⁴⁹

export WSS_PROXY="https://proxy.corp.example.com:8443"
codex "update the README"

これらは、既存の HTTPS_PROXY および SOCKS5 プロキシ対応（v0.93.0以降）を補完します。

「すべてのトランスポート層」への対応が実際に実現したのは v0.146.0 です。 設定したプロキシが、認証、プラグインのダウンロード、MCP 認可、リモート実行、WebSocket 接続、HTTP リダイレクト、LM Studio 接続のすべてで使用されるようになりました。変更履歴によると、これら7つの経路では以前プロキシ設定が無視されていました。¹¹⁴ v0.146.0 より前の Codex を企業プロキシの背後で使用し、通常のモデル呼び出しは機能する一方、ログインやプラグインのインストールが失敗していた場合、この未対応部分が原因だった可能性があります。

macOS のシステムプロキシ（v0.142.2以降）： respect_system_proxy を有効にすると、macOS の認証クライアントがシステムプロキシ、PAC、WPAD の設定に従います。これにより、プロファイルでプロキシ設定を配布している企業管理下の Mac では、認証トラフィック向けにシェルごとのプロキシ環境変数を設定する必要がなくなりました。¹⁰⁵ v0.143.0 以降、これは Windows と Responses API のトラフィックにも拡張されています。 Codex は認証と Responses API の呼び出しを、PAC および WPAD の自動設定を含む macOS または Windows のシステムプロキシ経由で送信します。これにより、いずれの OS でも厳格に制限された企業ネットワークにおける最後の未対応部分が解消されました。¹⁰⁶

Sandbox のテスト

sandbox を信頼する前に、その動作を確認してください。

codex sandbox macos --permissions-profile :workspace -- ls /etc/passwd   # macOS test
codex sandbox linux --permissions-profile :workspace -- cat /etc/shadow  # Linux test

sandbox が正しく機能していれば、ワークスペースに限定されたプロファイルでは、どちらのコマンドも権限拒否エラーで失敗するはずです。いずれかのコマンドが成功した場合は、sandbox の設定を調査する必要があります。

AGENTS.md の仕組み

AGENTS.md は Codex のプロジェクト指示システムです。現在は Linux Foundation の Agentic AI Foundation が管理するオープン標準⁹であり、Codex、Cursor、Copilot、Amp、Jules（Google）、Gemini CLI、Windsurf、Cline、Aider、Zed、Factory、RooCode、および 60,000 を超えるオープンソースプロジェクトでサポートされています。特定のリポジトリやディレクトリ内で Codex がどのように動作するかを定義します。AGENTS.md を補完する再利用可能な専門知識パッケージについては、skillsをご覧ください。

検出階層

Codex はセッション開始時にディレクトリツリーをたどり、指示チェーンを構築します。

1. グローバル（~/.codex/）：AGENTS.override.md > AGENTS.md
2. プロジェクト（git ルートから現在のディレクトリまで）：各階層で AGENTS.override.md > AGENTS.md > フォールバックファイル名の順に確認
3. マージ：ファイルはルートから下位へ連結されます。現在のディレクトリに近いファイルほどプロンプトの後ろに配置され、先にある指示を上書きします

~/.codex/AGENTS.md                     ← Global defaults
  └─ /repo/AGENTS.md                   ← Project-wide rules
      └─ /repo/services/AGENTS.md      ← Service-specific rules
          └─ /repo/services/payments/
               AGENTS.override.md      ← Overrides everything above for this dir

信頼されていないプロジェクトではプロジェクトの AGENTS.md をスキップ（v0.150.0）： 上記の走査は、プロジェクトが信頼されていることを前提としています。v0.150.0 以降、「信頼されていないプロジェクトはプロジェクトレベルの AGENTS.md 指示を提供しなくなり、権限の変更後も管理された読み取り拒否ルールが引き続き適用されます」。つまり、プロジェクトスコープの検出はスキップされる一方、ユーザーレベルの ~/.codex/AGENTS.md の指示は維持されます。そのため、信頼する前のチェックアウトから動作規約を注入されることはありません。¹³²

デスクトップの複数フォルダープロジェクト（26.715、2026年7月23日）： 上記の走査は CLI の動作を示しており、すべてが現在の作業ディレクトリを基準に解決されます。ChatGPT デスクトップアプリでは、関連する複数のフォルダーを1つのローカルプロジェクトに含められるようになりました。ただし、検出の基準となるのはそのうちの1つだけです。「新しいチャット、Git 操作、AGENTS.md、skills、config.toml の自動検出では、プライマリフォルダーが使用されます。セカンダリフォルダーも、ファイルの検索、読み取り、編集には引き続き利用できます」。プロジェクトメニューの プロジェクトを編集 から、プライマリにするフォルダーを選択できます。¹¹³

この1つの設定が、Codex の5つの中核システムのうち3つを同時に制御します。指示、skills、設定は、すべてプライマリフォルダーに従います。実際には、セカンダリフォルダー内の AGENTS.md は Codex が開けるファイルにすぎず、読み込まれる動作規約ではありません。ルールを含むリポジトリを2番目に追加した場合は、それをプライマリに昇格させるか、そのルールをプライマリフォルダーの AGENTS.md に改めて記載してください。自動検出を想定していたリポジトリ内の skill フォルダーにも同じことが当てはまります。CLI のディレクトリ走査自体は何も変わっていません。これはデスクトップアプリにおけるプロジェクトスコープの仕様です。

優れた AGENTS.md の条件

Codex 自体による直接的なガイダンスとコミュニティのパターン¹⁰に基づきます。

推奨： - 具体的に書く："Use rg --files for discovery" は "search efficiently" より明確です - 完了条件を定義する：「完了」とは何を意味するのかを示します（テスト合格、lint エラーなしなど） - コマンドを含める：ビルド、テスト、lint、フォーマットの正確な実行方法を記載します - タスク別に整理する：コーディング、レビュー、リリース、インシデント／デバッグのセクションに分けます - エスカレーション方法を定義する：行き詰まった場合や予期しない状態に遭遇した場合の対応を示します

非推奨： - 実行ルールを伴わないスタイルガイド全体の貼り付け - 曖昧な指示（「注意する」「最適化する」） - 矛盾する優先事項の混在（速度重視＋網羅的な検証＋実行時間の余裕なし） - 説明用の文章を書くこと（AGENTS.md は運用ポリシーであり、README ではありません）

例：本番環境向け AGENTS.md

# Repository Guidelines

## Build, Test, and Development Commands
- Run API (dev): `python3 -m uvicorn main:app --reload`
- Install deps: `pip install -r requirements.txt`
- Lint: `python3 -m ruff check .` (auto-fix: `--fix`)
- Format: `python3 -m ruff format .`
- Tests: `python3 -m pytest -v`
- Coverage: `python3 -m pytest --cov=app --cov-report=term-missing`

## Coding Style & Naming Conventions
- Python 3.11+. Type hints on all functions.
- Ruff enforced: 88-char lines, double quotes, spaces for indent.
- Naming: modules `snake_case.py`, classes `PascalCase`, functions `snake_case`.

## Commit & Pull Request Guidelines
- Conventional Commits: `feat:`, `fix:`, `docs:`, `refactor:`, `chore:`, `test:`
- Commits should be small and focused.
- PRs must include: description, test plan, and screenshots for UI changes.

## Security
- Never commit secrets. Use `.env` for local config.
- Validate all external API calls with proper error handling.

エージェントセッションでのシークレットの取り扱い

ソースコードだけでなく、Codex から参照できる履歴もセキュリティ上の対象として扱ってください。Codex のリリースノートには、シェルのスナップショット取得や環境変数の秘匿化に関する取り組みが記載されています。また、メモリーシステムはメモリーへの書き込みにシークレットが含まれていないかスキャンします。しかし、こうした保護機能があっても、コマンド出力、セッショントランスクリプト、シェルスナップショット、ローカルログ、ヘルパースクリプトが認証情報を出力しても安全な場所になるわけではありません。³⁷⁵⁵⁹⁵

運用ルールは単純です。モデルに確認させる目的でシークレットを出力しないでください。ヘルパー用の認証情報は環境側で必要とされる設定に保持します。監査時には、実行可能なソース、ドキュメント、生成キャッシュ、セッショントランスクリプト、シェルスナップショット、ログ、意図的なシークレット保管場所を分離してください。確度の高いシークレット形式が見つかった場合はローカル履歴から秘匿化し、手動の衛生管理ループが実証されてから予防用 hooks を導入します。公開すべき知見は、対象領域の整理と受け入れ基準です。非公開のトークン値、正確なパス、検出処理の内部実装ではありません。⁹⁵

オーバーライドの仕組み

各ディレクトリ階層の AGENTS.override.md は、そのスコープにおける通常の AGENTS.md を置き換えます。次のような場合に使用します。

• リリース凍結：「新機能は禁止、修正のみ」
• インシデントモード：「すべての変更についてオンコール担当者のレビューが必要」
• 一時的な強化：「今スプリントでは依存関係を更新しない」

設定

# Custom fallback filenames (in addition to AGENTS.md)
project_doc_fallback_filenames = ["TEAM_GUIDE.md", ".agents.md"]

# Increase max size for large instruction files
project_doc_max_bytes = 65536    # 64 KiB (default: 32 KiB)

スキャフォールドの生成

codex                           # Launch TUI
/init                           # Generate AGENTS.md scaffold

または、指示チェーンを確認します。

codex --ask-for-approval never "Summarize your current instructions"

Hooks

Codex では、v0.99.0 と v0.100.0 で従来の AfterAgent および AfterToolUse という名前の hooks が導入されました。v0.114.0 では SessionStart と Stop を備えた試験的な hooks エンジンが追加され⁷⁰、v0.124.0（2026年4月23日）で安定版となりました。⁸⁵ rust-v0.150.0 に搭載されたエンジンには、12個のイベント（codex-rs/hooks/src/lib.rs の HOOK_EVENT_NAMES）が登録されています。v0.149.1 の時点では11個でしたが、v0.150.0 で12個目となる Interrupt が追加されました。¹³² 従来の名前は設定可能な項目から削除されています。AfterToolUse はソースツリーのどこにも存在せず、AfterAgent は従来の notify ブリッジにおける内部ペイロード名としてのみ残っています。¹²⁴ Hooks はエージェントループ中にスクリプトまたは MCP ツールを実行します。複数のファイルにある一致した hooks はすべて実行され、1つのイベントに一致する複数の command hooks は同時に起動します。また、管理対象外の hook は、実行前にすべて確認して信頼する必要があります。¹²⁴ v0.148.0 ではエンジンが拡張され、hooks でコマンドを非同期に実行したり、MCP ツールを呼び出したりできるようになりました。command ハンドラーに async = true を設定すると、Codex の処理を継続しながらバックグラウンドで実行できます。また、mcp_tool ハンドラーを使用すれば、エージェントと同じ MCP servers にアクセスできます。¹¹⁸¹²⁴

利用可能な Hook イベント

WebSearch などのホスト型ツールは hook の実行経路を通りません。また、一部の特殊なツール経路では hook を適用しないようにできます。OpenAI 自身は、これを「有用なガードレールではあるものの、完全な強制境界ではない」と説明しています。¹²⁴

Hook の設定

Hooks は、イベント、matcher グループ、1つ以上のハンドラーという3階層で構成されます。設定は hooks.json（~/.codex/hooks.json、<repo>/.codex/hooks.json、またはプラグインの hooks/hooks.json）に記述するか、config.toml および requirements.toml にインラインで記述します。プロジェクトローカルの hooks は、プロジェクトの .codex/ レイヤーが信頼されている場合にのみ読み込まれます。¹²⁴ インライン TOML の形式は次のとおりです。

# ~/.codex/config.toml or <repo>/.codex/config.toml
[[hooks.SessionStart]]
matcher = "startup|resume"

[[hooks.SessionStart.hooks]]
type = "command"
command = "python3 ~/.codex/hooks/session_start.py"
additionalContextLimit = 5000

[[hooks.PreToolUse]]
matcher = "^Bash$"

[[hooks.PreToolUse.hooks]]
type = "command"
command = '/usr/bin/python3 "$(git rev-parse --show-toplevel)/.codex/hooks/pre_tool_use_policy.py"'
timeout = 30
statusMessage = "Checking Bash command"

[[hooks.PostToolUse]]
matcher = "^Bash$"

[[hooks.PostToolUse.hooks]]
type = "command"
command = "python3 ~/.codex/hooks/post_tool_use_review.py"
async = true
timeout = 120

ハンドラーのフィールドは、type（command または mcp_tool。prompt および agent ハンドラーは解析されますがスキップされます）、command、秒単位の timeout（デフォルトは600秒。SessionEnd は1秒で、上限は3秒）、statusMessage、additionalContextLimit（Codex が全文をディスクに保存してプレビューを送信する前に、additionalContext のうちモデルへ渡す量）、commandWindows（Windows 専用のオーバーライド）、async です。コマンドの作業ディレクトリにはセッションの cwd が使用されます。そのため、リポジトリローカルの hooks では、相対的な .codex/hooks/... パスではなく、git rev-parse --show-toplevel を基準にパスを解決してください。¹²⁴

確認と信頼。 Codex は、管理対象外の各 hook について、現在のハッシュに対する信頼状態を記録します。新規または変更された hooks は要確認とされ、信頼されるまでスキップされます。/hooks を実行すると、hook の提供元を確認し、内容を精査して信頼したり、個別の hook を無効化したりできます。起動時に確認が必要な hooks がある場合、Codex は /hooks を案内する警告を表示します。システム、MDM、クラウド、または requirements.toml 由来の管理対象 hooks は、ポリシーによって信頼されており、ユーザー向け hook ブラウザーから無効化することはできません。--dangerously-bypass-hook-trust を使用すると、hook の提供元を別の場所で検証する自動化向けに、永続的な信頼を記録せず、その1回の実行に限って有効な hooks を実行できます。¹²⁴

SessionStart hook の stdout はモデルのコンテキストに取り込まれるため、セッション開始時に日付、ブランチ名、環境変数などの動的情報を注入する用途に適しています。

Claude Code の Hook パターンを再現する

Codex が実装しているイベントには Claude Code と同じイベント名が使われています。そのため、ほとんどの hook 設定は、JSON を hooks.json に移し、/hooks から信頼することで移行できます。

エキスパート向けのヒント： 新しい hook イベントは今後のリリースでも追加されます。v0.150.0 では Interrupt イベントが追加されました（¹³²）。最新の一覧については、codex-rs/hooks/src/lib.rs の HOOK_EVENT_NAMES と Codex changelog を確認してください。

TUI 内の hook ブラウザー（v0.129.0）： TUI で /hooks を実行すると、利用可能な hooks を確認し、現在どれが有効かを把握したうえで、config.toml を編集せずに個別の hook を切り替えられます。プラグインに同梱された hook の問題を調査する場合や、編集に集中する間だけ PostToolUse linter を一時的に無効化する場合に便利です。⁸⁹

MCP（Model Context Protocol）とは？ [EXPERIMENTAL]

MCPは、外部のツールやサービスに接続することでCodexの能力を拡張します。codex mcp コマンド群は現在実験的と位置づけられており、コマンドや設定フォーマットはリリース間で変更される可能性があります。Codexは2種類のトランスポートに対応しています。STDIO（ローカルプロセス）とStreamable HTTP（リモートサーバー）です。¹¹

v0.121.0のMCP変更点: ツールは名前空間付きで登録されるようになり、一覧上のツール名は素の名前ではなく <server>:<tool> の形式で表示されます。修飾されていないツール名をgrepしているスクリプトやプロンプトは更新してください。新たに supports_parallel_tool_calls フラグが対象のMCPsへ引き渡され、対応を宣言したサーバーでは並列実行が可能になります。サンドボックスの状態メタデータもMCPツールのメタデータ経由で流れるようになったため、サーバー側が挙動を調整できます（例：read-onlyサンドボックス下での実行を警告する）。独自リクエストの codex/sandbox-state は削除されました。今後はメタデータ経路を使ってください。MCP Appsロールアウトのフェーズ3もここで到達し、ツール呼び出しに対応。deferred-callパターンを使うサーバー向けに、フラット化されたdeferredツール呼び出しもサポートされます。⁸²

v0.142.2のMCP変更点（2026年6月25日）: MCPツールは対応環境ではツール検索がデフォルトになりました。すべてのツール定義を事前に読み込むのではなく、Codexが必要に応じてツールを発見する方式です。ツール数の多い構成での発見性が向上しつつ、旧来のモデルやプロバイダーとの互換性も保たれます。また、リモートstdioのMCPサーバーは、リモートプラットフォームのパス形式で書かれた絶対作業ディレクトリも受け付けます（macOSクライアントからWindows形式のパス、またはその逆）。¹⁰⁵

v0.147.0のMCP変更点（2026年8月7日）: CodexにMCP 2026-07-28プロトコル改訂版へのオプトイン対応が追加されました。ページネーション付きの検出（巨大なツールカタログは1つの過大な一覧ではなくページ単位でストリーミングされます）、マルチラウンドリクエスト（サーバーが1つの論理リクエスト内で複数ステップのやり取りを保持できます）、そしてノンブロッキングなサーバー起動です。キャッシュ済みのMCPツールはサーバーの起動完了前に公開されるため、起動の遅いサーバーがセッション開始を止めることはなくなりました。オプトイン方式なので、旧改訂版のサーバーはそのまま動作します。¹¹⁶

v0.151.0のMCP変更点（2026年8月29日）: オプション扱いのMCPサーバーに設定可能な起動猶予時間が加わりました。mcp_optional_startup_grace_ms（デフォルト1,000ミリ秒）は、ツールカタログの取得がオプションサーバーをどれだけ待つかを制御します。0 にすると共有の猶予が無効になり、オプションサーバーは設定済みの startup_timeout_sec にフォールバックします。更新した値は実行中およびMCP設定の再読み込み時に適用されます。拡張機能からMCPツールの結果を検査または差し替えることもできます。ToolLifecycleContributor::on_mcp_tool_result は、MCPの完了が公開される前、かつ結果がモデル向けに整形される前に実行され、成功・エラーいずれの結果でも、Code Mode経由でも動作します。¹³⁴

v0.152.0のMCP変更点（2026年9月1日）: 追加的な変更が3点あります。openai/elicitation フォームリクエストが到着しました。クライアントがオブジェクト値の form ケーパビリティを宣言するとCodexはフォーム対応を通知し、openai/elicitation/create リクエストを処理して、そのメタデータと不透明なスキーマをapp server経由で openaiForm として転送します（x-openai-* アノテーションは保持されます）。従来の openai/form の処理は独立したまま残り、TUIはレンダリングできないフォームリクエストを自動的に拒否します。ツール単位の出力上限: MCPサーバーの tools 設定配下の各エントリは、正の output_token_limit を受け付けます（例：[mcp_servers.context7.tools.search] に output_token_limit = 2000）。プラグインとユーザーのポリシーが重なる場合は最も厳しい上限が優先され、実効値は会話履歴に引き継がれるため、ツール出力、post-toolフックの応答、再開したセッションのいずれも同じ上限で切り詰められます。グローバルな tool_output_token_limit と併存する追加機能です。パッケージ形式のサーバー名: MCPサーバー名に :、@、/、. を含められるようになりました（npm:@modelcontextprotocol/server-sequential.thinking は正当な名前です）。この名前は mcp add/get/list/remove、実行時のツール名前空間、OAuthの資格情報検索をまたいで保持され、生成される config.toml の復旧ヒントでは素の名前でないものが引用符で囲まれます。¹³⁸

MCPサーバーの設定

STDIOサーバー（ローカルプロセス）:

# In ~/.codex/config.toml or .codex/config.toml

[mcp_servers.context7]
enabled = true
required = true                         # Fail startup if unavailable
command = "npx"
args = ["-y", "@upstash/context7-mcp"]
env = { "MY_VAR" = "value" }            # Static env vars
env_vars = ["PATH", "HOME"]             # Forward host env vars
cwd = "/path/to/project"                # Optional working directory
startup_timeout_sec = 10
tool_timeout_sec = 60
enabled_tools = ["search", "summarize"]  # Tool allowlist
disabled_tools = ["slow-tool"]           # Tool denylist

HTTPサーバー（リモート）:

[mcp_servers.figma]
enabled = true
url = "https://mcp.figma.com/mcp"
bearer_token_env_var = "FIGMA_OAUTH_TOKEN"
http_headers = { "X-Figma-Region" = "us-east-1" }
env_http_headers = { "X-Org-Id" = "FIGMA_ORG_ID" }  # Headers from env vars
startup_timeout_sec = 10
tool_timeout_sec = 60

CLIの管理

codex mcp add context7 -- npx -y @upstash/context7-mcp
codex mcp add context7 --env API_KEY=... -- npx -y @upstash/context7-mcp   # With env vars
codex mcp add figma --url https://mcp.figma.com/mcp --bearer-token-env-var FIGMA_OAUTH_TOKEN
codex mcp list                          # List all configured servers
codex mcp list --json                   # JSON output
codex mcp get context7                  # Show server config
codex mcp get context7 --json           # JSON output
codex mcp login <server>                # OAuth flow for HTTP servers
codex mcp logout <server>               # Remove OAuth credentials
codex mcp remove <server>               # Delete server definition

セッション中は /mcp で稼働中のサーバーと利用可能なツールを確認できます。/mcp verbose（v0.123.0+）⁸⁴ はサーバーの詳細な診断情報、リソース、リソーステンプレートを返します。サーバーの読み込みに失敗しているときや、ツールが想定した場所に現れないときに役立ちます。素の /mcp は高速なままです。v0.144.0 以降、MCPツールは実験的なオプトインなしで対話的に認証を要求できます。セッション途中で認証が必要になったサーバーは、codex mcp login で事前認証するまで失敗するのではなく、通常のフローでプロンプトを出します。¹⁰⁷

プラグインのMCP読み込み（v0.123.0+）は、標準の mcpServers スキーマと .mcp.json のトップレベルのサーバーマップの両方を受け付けるため、どちらの流儀で書かれたプラグインも問題なく読み込めます。⁸⁴

MCPのユーザー検証（v0.155.0、対応Mac）: 対応MacのローカルTUIセッションでは、MCPリクエストをTouch IDで検証し、Secure Enclaveで署名できます（#43624、#43712、#43715）。検証用のアイデンティティは登録したワークスペースに限定され（#43524）、検証結果はMCPツールの継続処理へネイティブに引き継がれます（#44346）。v2.68の昇格チェックリストで初めて監視対象となり、alpha.7クラスターと共に0.154.0から外れ、0.155.0で出荷されました。¹⁵⁶

CodexをMCPサーバーとして実行する

削除されました（v0.154.0、2026年9月9日）。 codex mcp-server コマンドと単体バイナリの codex-mcp-server は、stable 0.154.0（#42993）をもって廃止され、2026年8月24日の非推奨化が完了しました。公式チェンジログ（2026年9月5日）はこう述べています。「codex mcp-server コマンドと単体の codex-mcp-server バイナリは、2026年8月24日の非推奨化を経て削除されました。いずれかのコマンドを起動している統合は、Codexをアップグレードする前に更新してください。」統合先としては app-serverプロトコル（VS Code拡張機能とデスクトップアプリの背後にあるインターフェース。認証、会話履歴、承認、ストリーミングされるエージェントイベントを扱います）を狙うべきです。ただし削除の告知自体がこれを実験的であり「本番ワークロードではサポートされない」と明記しています。あるいはClaude Code側からは Claude Code向けCodexプラグイン があります。「Claude CodeからCodexを使ってコードをレビューしたり、タスクを委譲したりできます。」Codexを外部のMCPサーバーへ接続する側（codex mcp ...、/mcp）は影響を受けません。^125152153

CLI 0.153.4以前ではこのコマンドはまだ存在します（2026年8月24日に非推奨化。v0.149.0以降は warning: `codex mcp-server` is deprecated and will be removed in a future release. をstderrへ出力したうえで起動します、PR #39657）。統合をすぐに移行できない場合は、npm install -g @openai/codex@0.153.4 でピン留めするのが応急策になります:^12125148152

codex mcp-server                        # REMOVED in 0.154.0; works only on 0.153.x and earlier (deprecated, warns)

0.153.x以前では、サーバーは2つのツールを公開します: 1. codex(): プロンプト、サンドボックス、モデル、承認のパラメーターを指定して新しいセッションを開始します 2. codex-reply(): threadId とプロンプトで既存のセッションを継続します

Agents SDK（Python）と併用する場合 – CLI 0.153.4以前のみ:

from agents import Agent, Runner
from agents.mcp import MCPServerStdio

async with MCPServerStdio(
    name="Codex CLI",
    params={"command": "npx", "args": ["-y", "@openai/codex@0.153.4", "mcp-server"]},  # pin: removed in 0.154.0
    client_session_timeout_seconds=360000,
) as codex_mcp_server:
    agent = Agent(name="Developer", mcp_servers=[codex_mcp_server])
    result = await Runner.run(agent, "Fix the failing tests")

注目のMCPサーバー

実践パターン

パターン1: コンテキストを踏まえた開発 — Context7を自分のフレームワークのドキュメントと組み合わせ、Codexが常に最新のAPIリファレンスを参照できるようにします:

[mcp_servers.context7]
enabled = true
required = true
command = "npx"
args = ["-y", "@upstash/context7-mcp"]

パターン2: 出力の上限 — MCPツールのレスポンスはデフォルトで約25K文字に切り詰められます。大きなペイロードを返すツール（データベースクエリ、ログ取得など）では、enabled_tools で特定のツールに絞り込み、レスポンスを要点に保ちましょう。

パターン2a: マルチモーダルなツール出力（v0.107.0） — カスタムツールはテキストと併せてマルチモーダルな出力（画像、リッチコンテンツ）を返せるようになりました。これにより、スクリーンショットや図、チャートのレンダリングといった視覚的な成果物を生成するツールが、それらを直接モデルへ渡して分析させられます。⁶²

パターン3: エンタープライズにおけるMCPガバナンス — requirements.toml で開発者が使えるMCPサーバーを制限します:

# In /etc/codex/requirements.toml — only approved servers allowed
[mcp_servers.approved-internal]
identity = { command = "npx @company/internal-mcp" }

requirements.toml のアイデンティティに一致しないサーバーは、起動時にブロックされます。ポリシー設定の全体像は エンタープライズ展開 を参照してください。

Code Mode [EXPERIMENTAL]

Code mode（v0.114.0）は、エージェントの対象範囲をコード中心の操作に制限することで、より分離されたコーディングワークフローを提供します。⁷⁰ 有効にすると、より広範なシステム操作を行わず、コードの読み取り、書き込み、テストに集中します。

v0.139.0以降、code modeでは、ネストされた JavaScript ツール呼び出しからも含め、スタンドアロンのウェブ検索を直接呼び出せるようになり、結果をプレーンテキストで受け取ります。これにより、サンドボックス化されたコーディングコンテキストを離れることなく、最新情報を取得できます。¹⁶⁵ v0.146.0ではスタンドアロンのウェブ検索が互換性のあるカスタムモデルプロバイダーにも拡張され、この機能はOpenAIがホストするモデルだけに限定されなくなりました。¹¹⁴

v0.146.0では、app-serverがリモートのCode Modeホストへ接続できるようになり、code modeランタイムをクライアントと同じマシン上で動かす必要がなくなりました。当初は WebSocket が使用されていました。¹¹⁴ v0.151.0では WebSocket トランスポートが削除されています（#40692）。app serverの --code-mode-host 接続で受け付けるのは、http:// および https:// のgRPCエンドポイントだけです。また、スタンドアロンのcode-modeホストで使用できるのはstdioとgRPCリスナーに限られます。タグrust-v0.151.0時点のリスナーのドキュメントには、原文どおり「Transport endpoint: stdio, stdio://, or grpc://IP:PORT.」と記載されています。WebSocket は、トレース用のraw OTLPトレースバッチをストリーミングするオプションのエンドポイントとしてのみ残されており、セッショントランスポートとしては使用されません。¹³⁵

この機能は実験段階です。最新情報はリリースノートをご確認ください。

JavaScript REPLランタイム [REMOVED]

Codex v0.100.0では、実験的な JavaScript REPLランタイム（js_repl）が追加され、v0.106.0では /experimental から利用できるようになりました。⁶⁰ ただし、この案内は現在では過去のものです。v0.128.0のリリース変更履歴には「Remove js_repl feature」と記載され、現在の機能一覧では js_repl と js_repl_tools_only の両方が削除済みとされています。⁸⁶

新しい設定に features.js_repl = true を追加しないでください。繰り返し実行できるロジックが必要な場合は、シェルコマンド、リポジトリにコミットされたスクリプト、MCP ツール、または scripts/ ディレクトリを備えたCodex skillを使用します。

skillsとは？

skillsは、Codexが必要に応じて読み込む、再利用可能なタスク専用の機能パッケージです。オープンなagent skills標準に準拠しています。¹³

skillの構造

my-skill/
  SKILL.md           (required: instructions)
  scripts/           (optional: executable scripts)
  references/        (optional: reference docs)
  assets/            (optional: images, icons)
  agents/openai.yaml (optional: metadata, UI, dependencies)

検出場所

Codexは、ユーザーがインストールしたskillsを $CODEX_HOME/skills（デフォルト：~/.codex/skills）に保存します。.system/ 配下の組み込みsystem skillsもここに含まれます。シンボリックリンクされたskillフォルダーにも対応しています。

skillの作成

SKILL.mdの形式：

---
name: security-audit
description: Run a thorough security audit on the codebase.
---

## Security Audit Procedure

1. Scan for hardcoded secrets using `rg -i "(api_key|password|secret|token)\s*=" --type py`
2. Check for SQL injection: look for string interpolation in queries
3. Verify input validation on all API endpoints
4. Check dependency vulnerabilities: `pip audit` or `npm audit`
5. Review authentication and authorization patterns
6. Report findings with severity levels (Critical/High/Medium/Low)

メタデータ（agents/openai.yaml）：

interface:
  display_name: "Security Audit"
  short_description: "Full codebase security review"
  icon_small: "./assets/shield.svg"
  brand_color: "#DC2626"
  default_prompt: "Run a security audit on this repository"

policy:
  allow_implicit_invocation: false    # Require explicit $skill

dependencies:
  tools:
    - type: "mcp"
      value: "snyk"
      transport: "streamable_http"
      url: "https://mcp.snyk.io/mcp"

skillsの呼び出し

• 明示的：/skills メニュー、またはプロンプト内での $skill-name の指定
• 暗黙的：Codexがタスクの説明から一致するskillsを自動検出（allow_implicit_invocation: true の場合）
• Creator：$skill-creator を使用して、新しいskillを対話形式で作成
• Installer：$skill-installer install <name> を使用して、コミュニティのskillsをインストール
• Executor提供（v0.146.0）：Codexはexecutorが提供するskillsを検出し、明示的に選択したskillsを含め、関連リソースを読み込みます¹¹⁴

コンテキストの上限により、skillカタログが切り詰められる場合があります。 v0.146.0では、コンテキストが限られている場合でも、より多くの利用可能なskillsが保持され、カタログを切り詰める必要がある場合は警告が表示されます。¹¹⁴ 以前は、大規模なskillライブラリが通知なく削減され、利用できるはずのskillが提示されないことがありました。多数のskillsで暗黙的な呼び出しを利用する場合は、この警告に注意してください。

有効化／無効化

[[skills.config]]
path = "/path/to/skill/SKILL.md"
enabled = false

skillsとslash commandsの違い

skillsのデバッグ

skillが有効にならない場合：

1. 検出を確認：TUIの /skills に表示されるか確認します
2. パスを確認：skillフォルダーが認識される場所（~/.codex/skills/、プロジェクトルート、または /etc/codex/skills/）にあることを確認します
3. enabled を確認：config.tomlで enabled = false に設定されたskillsは読み込まれません
4. 暗黙的な有効化を確認：自動検出を利用する場合は、agents/openai.yaml に allow_implicit_invocation: true が設定されていることを確認します
5. キーワードを使用：暗黙的な一致の精度を高めるには、skillの description に含まれる語句をプロンプトに加えます

実践例：デプロイ用skill

参照資料とスクリプトの連携を示す、複数ファイルで構成された完全なskillです。

deploy-skill/
  SKILL.md
  references/
    runbook.md
    rollback-checklist.md
  scripts/
    pre-deploy-check.sh
    smoke-test.sh
  agents/openai.yaml

SKILL.md：

---
name: deploy
description: Deploy the application to staging or production. Runs pre-flight checks, executes deployment, and verifies with smoke tests.
---

## Deployment Procedure

### Pre-flight
1. Run `scripts/pre-deploy-check.sh` to verify:
   - All tests pass
   - No uncommitted changes
   - Branch is up to date with remote
2. Review the runbook at `references/runbook.md` for environment-specific steps.

### Deploy
3. Execute the deployment command for the target environment.
4. Monitor logs for errors during rollout.

### Verify
5. Run `scripts/smoke-test.sh <environment-url>` to confirm critical paths.
6. If smoke tests fail, follow `references/rollback-checklist.md`.

呼び出し例：$deploy to staging または $deploy production with canary rollout

Plugins

Plugins は、skills、MCP エントリ、hooks、アプリコネクターを、単一のインストール可能なパッケージにまとめます（v0.110.0以降）。⁶⁵ v0.117.0以降、Plugins は正式な機能として扱われています。製品スコープの Plugins は起動時に自動同期され、/plugins では、検索と管理のための TUI 内ブラウザーを利用できます。⁷⁵ v0.128.0では、マーケットプレイスからのインストール、リモートバンドルのキャッシュ、リモートアンインストール用 API、Plugin に同梱された hooks、hook の有効化状態、外部エージェント設定のインポートが追加され、Plugin のワークフローが拡充されました。⁸⁶ v0.129.0（2026年5月7日）では、Plugin のワークスペース共有（再公開せずに Plugin セットをチームメイトへプッシュ）、共有アクセス制御（受信者ごとの有効化／無効化、アクセス権の取り消し）、ソースフィルタリング（ワークスペースが取得するマーケットプレイスを制限）、および CLI を使わずに /plugins ブラウザーから直接実行できるマーケットプレイス操作が追加されました。⁸⁹ v0.133.0（2026年5月21日）では、Plugin の検索結果を監査しやすくなりました。リスト出力でマーケットプレイスを識別できるようになり、インストール済みのバージョンとマーケットプレイスのルートが表示されます。また、検索結果の取得元レジストリを推測しなくても、リモートの Plugin コレクションを確認できます。⁹⁸ v0.130.0（2026年5月8日）では、Plugin のパッケージ内容がより明確になり、共有ワークフローを細かく制御できるようになりました。⁹¹

• Plugin の詳細に同梱 hooks を表示。 /plugins の詳細ビューに、Plugin に同梱されているすべてのライフサイクル hook（SessionStart、UserPromptSubmit、Stop など）が表示されるようになりました。Plugin をインストールする前に、セッションへ登録される hooks を正確に確認できます。ツールだけを見て信頼した Plugin によって、予期しない hook の副作用が生じる心配はありません。
• shareContext 内の Plugin 共有メタデータ。 ワークスペースから Plugin を共有すると、共有リンクのペイロードにリンクのメタデータ（作成者、スコープ、鮮度）が含まれるようになりました。これにより、受信側のセッションで出所を表示し、受け入れるかどうかを判断できます。
• 共有設定の検出可能性コントロール。 共有設定には検出可能性の切り替えが用意されています。組織全体の一覧に公開することなく、特定のワークスペースや受信者リストに限定して Plugins を公開できます。

v0.143.0（2026年7月8日）では、リモート Plugins がデフォルトで有効になりました。 リモート Plugins をオプトイン用フラグなしで利用できるようになり、/plugins カタログの行には、git やローカルに加えて npm マーケットプレイスのソースなど、より詳しい情報が表示されます。また、各エントリにリモート版とローカルにインストール済みの版の両方が表示されるため、バージョンのずれをひと目で確認できます。¹⁰⁶ 共通の Plugin セットをチーム標準として採用する場合、リモートがデフォルトで有効になったことで、従来は展開の障壁となっていたマシンごとの有効化作業が不要になります。

Plugin のソース

v0.147.0以降は、1回のクエリでローカル、個人、ワークスペース、リモートの各カタログを横断して Plugin を検索できます。どのカタログにあるかではなく、必要な機能を検索すればよいのです。ポータブルな Agent Plugin パッケージと組み合わせることで、ある環境で構築した Plugin を、その作成元のマシンやワークスペースに縛られることなく、別の環境へスムーズにインストールできます。¹¹⁶

Plugin の検索

Codex はセッション開始時に、有効な Plugins をモデルへ通知します（v0.111.0）。これにより、インストール済みの MCP、アプリ、skills を見つけやすくなります。⁶⁵ モデルはタスクの文脈に基づき、セッション中に関連する Plugins を提案できます。v0.117.0では、製品スコープの Plugins が起動時に同期されるため、手動で操作しなくても最新の Plugin カタログを利用できます。⁷⁵ v0.142.0以降、/plugins メニューではリモート Plugins が OpenAI Curated、ワークスペース、自分と共有のセクションに分類され、対象となるターンでは関連する Plugins をインラインで提案し、インストールできます。¹⁰⁴ v0.151.0以降、plugin/list と plugin/installed は、要求された各 cwd の有効な Plugin 設定を読み込みます。ローカルマーケットプレイスはリクエスト順に結合され、インストール状態と有効化状態はリポジトリ間で統合されます。また、無効なプロジェクト設定は、有効なローカルカタログやグローバルで有効なリモートカタログを除外することなく、marketplaceLoadErrors を通じて報告されます。¹³⁴

@plugin メンション（v0.112.0以降）

チャット内で @plugin-name を使うと、インストール済みの任意の Plugin を直接参照できます。⁶⁸ Plugin をメンションすると、そのコンテキスト（機能、ツール、設定）がモデルのコンテキストウィンドウへ自動的に追加されます。Plugin の機能を改めて説明する必要はありません。

@deploy push this branch to staging with canary rollout
@linter check for unused imports in src/

カスタム skills、MCP サーバー、アプリコネクターを含む、インストール済みのあらゆる Plugin で利用できます。

Plugin マーケットプレイス（v0.113.0以降）

Plugin マーケットプレイスでは、メタデータ、カテゴリー、評価を利用して、より詳しく検索できるようになりました。⁶⁹ インストール時の認証チェックでは、API キーまたは OAuth を必要とする Plugins に有効な認証情報が設定されているか、インストール前に検証します。アンインストール用エンドポイントを使うと、Plugins と関連設定を適切に削除できます。

サードパーティ製マーケットプレイスの追加（v0.121.0以降）

現在の OpenAI Codex ドキュメントでは、マーケットプレイスのソース管理に codex plugin marketplace を使用します。これにより、OpenAI のファーストパーティマーケットプレイスに限定されないサードパーティ製 Plugin の配布方法が正式に定義され、GitHub リポジトリの短縮表記、HTTP(S) Git URL、SSH URL、ローカルマーケットプレイスのルートディレクトリがサポートされます。Git の ref を固定するには --ref を使用し、--sparse PATH の繰り返し指定は Git ベースのマーケットプレイスリポジトリに限って使用してください。⁹³

# GitHub repository (shorthand)
codex plugin marketplace add owner/repo

# Arbitrary git URL
codex plugin marketplace add https://git.example.com/team/plugins.git

# SSH Git URL
codex plugin marketplace add git@example.com:team/plugins.git

# Local directory
codex plugin marketplace add /path/to/local/marketplace

# Upgrade or remove a configured marketplace
codex plugin marketplace upgrade <marketplace-name>
codex plugin marketplace remove <marketplace-name>

追加したマーケットプレイスの Plugins は、デフォルトの Plugins と並んで /plugins ブラウザーに表示されます。App server の呼び出し元（IDE／デスクトップ統合）では、プログラムからマーケットプレイスを登録するための同等のエンドポイントを利用できます。⁸²

セキュリティ上の注意：サードパーティ製マーケットプレイスの Plugin コードは、Codex に付与された権限で任意に実行されます。追加前にソースの信頼性を確認し、初回実行時にはサンドボックス環境の使用を推奨します。

Agent Plugins：ベンダー横断の標準（v0.146.0〜v0.147.0）

「Agent Plugins」は単なる Codex の機能名ではありません。オープンかつベンダー中立なパッケージング標準であり、2026年8月6日に Agent Plugins 1.0.0として公開されました。公式サイトでは「AI エージェントを拡張する再利用可能なコンポーネントのための、ポータブルなパッケージ形式」と説明されています。¹⁶¹ Plugin は、必須の plugin.json マニフェストを含むディレクトリです。このマニフェストは、最上位で許可されるフィールドが $schema、name、version、description、author、homepage、repository、license、keywords、extensions の10個に限定されたクローズドスキーマであり、「クライアントは未知のフィールドを1つずつ報告し、無視しなければならない」と定められています。さらに、任意の skills/ フォルダー（直下にある、SKILL.md を含む各子ディレクトリが1つの skill となります）、stdio、Streamable HTTP、または従来の HTTP+SSE サーバーを宣言する任意の mcp.json、および他のクライアントが「無視しなければならない」逆ドメイン形式の任意のクライアント名前空間ディレクトリで構成できます。規範として定める範囲はパッケージングです。この仕様は「AI エージェントを拡張する再利用可能なコンポーネントを配布可能な Plugins としてパッケージ化するための、標準 Agent Plugins Specification v1.0.0を定義する」ものであり、その下位に位置する Agent Skills と MCP には、それぞれ独自の仕様が引き続き適用されます。¹⁶¹

重要なのはガバナンスです。Vercel が提案を開始し、Amazon、Anysphere（Cursor）、GitHub、Microsoft、OpenAI と共同で1.0仕様を策定しました。仕様リポジトリのメンテナーには Amazon、Cursor、Microsoft、OpenAI、Vercel の関係者が名を連ね、Google も公開日にコアメンテナーへ加わると発表しています。¹⁶¹ 発表時に対応クライアントとして挙げられたのは、ChatGPT、Codex、Cursor、GitHub Copilot、Kiro、VS Code です。目立つ不在者もいます。基盤となる Agent Skills 形式と MCP 自体を作成した Anthropic は、メンテナーに含まれていません。Claude Code は独自の Plugin 形式を維持しており、Codex 側では Claude Code マーケットプレイスソース（v0.146.0）と /import によって、その隔たりを埋めています。¹⁶¹

Codex の観点では、v0.146.0で Agent Plugins のマニフェスト、ワークスペースへの Plugin 公開、さらに Amazon Bedrock と Claude Code という2つの Plugin マーケットプレイスが追加されました。¹¹⁴ v0.147.0では、ポータブルな Agent Plugins のインストールと、ローカル、個人、ワークスペース、リモートの各カタログを横断する検索が加わり、一連の機能が完成しました。¹¹⁶ チームにとって運用上特に便利なのは、ワークスペースへの公開です。公開マーケットプレイスを立ち上げたり、各開発者に Git ソースを手動で追加してもらったりせず、自分たちのワークスペースへ Plugins を公開できます。

リリースノートでは Codex 上の機能について発表されていますが、設定キーや CLI 構文は公開されていません。ここでは、この機能が追加されたことと標準の仕様を記録するにとどめ、Codex からの操作方法は扱いません。OpenAI のドキュメントで説明されるまでは、マニフェストの作成ワークフローと codex plugin publish の呼び出しはいずれも未検証として扱ってください。

Plugins の管理

codex plugin marketplace add <src>       # Add a marketplace source
codex plugin marketplace upgrade [name]  # Upgrade one marketplace or all
codex plugin marketplace remove <name>   # Remove a configured marketplace
codex plugin list                        # List plugins; includes remote catalog entries (v0.153.0)
codex plugin list --json                 # JSON adds source, version, install + auth policy (v0.153.0)

v0.153.0では、Plugin の CLI がマーケットプレイス管理から、リモートマーケットプレイスに対する Plugin 単位の操作へと拡張されました。codex plugin list にはリモートカタログのエントリが含まれ、JSON 出力にはソース、バージョン、インストールポリシー、認証ポリシーが表示されます。また、既存の Plugin CLI を使って、リモート Plugins を追加および削除できます。リモートカタログはスコープとコレクションごとにキャッシュされ、新しいキャッシュ結果が優先されます。キャッシュ内で Plugin が見つからない追加リクエストでは、1回だけ再取得されます。さらに、フィルタリングされていないリモート一覧の取得に失敗しても、ローカルのキュレーション済みカタログは保持されます。ただし、明示的に選択したリモートマーケットプレイスのエラーは引き続き表示されます。¹⁴⁰

TUI では、/plugins（v0.117.0以降）を使用すると、セッションを離れることなく、個々の Plugins を対話形式で参照、インストール、削除できます。⁷⁵

上級者向けのヒント：Plugins を使えば、以前は個別に必要だった MCP の設定、skill のインストール、アプリコネクターのセットアップを1つにまとめられます。1つの Plugin に3つすべてを同梱できるため、チームへの導入が速くなり、設定の移植性も高まります。

Plan Mode とコラボレーション

Plan mode を使うと、Codex は変更を実行する前にアプローチを設計できます。v0.94.0 以降、デフォルトで有効です。¹⁴「Plan Mode と直接実行」の判断ツリーについては、判断フレームワークをご覧ください。

Plan mode と update_plan ツール（v0.152.0）の違い： この2つは別のもので、デフォルトで有効なのは片方だけです。Plan mode は、このセクションで説明する、Codex が実行前に提案を行うコラボレーションモードです。v0.94.0 以降デフォルトで有効になっており、この点に変更はありません。一方、update_plan は、モデルがターン内で構造化された計画を管理するために呼び出せる計画用のツールです。v0.152.0 ではオプトインとして導入され、tools.update_plan.enabled のデフォルト値は false です。無効になっている間、Codex はモデル、コラボレーションモード、multi-agent、compaction、prewarm、goal-continuation の各プロンプトから、同梱の update_plan ガイダンスも除外します（計画に言及している場合でも、カスタム基本指示、モデルカタログの指示、コラボレーションポリシー、ユーザーの目標テキストは保持されます）。有効にするには、config.toml で tools.update_plan.enabled = true を明示的に設定してください。¹³⁸

Plan Mode の開始

/plan                              # Switch to plan mode
/plan "redesign the API layer"     # Plan mode with initial prompt

Plan mode では、Codex は次のように動作します。 - ファイルを読み取り、コードベースを分析します - 実装計画を提案します - 承認されるまで変更を加えません - 専用の TUI ビューに計画をストリーミング表示します

Steer Mode

Steer mode（v0.98.0 以降デフォルトで有効）では、Codex が作業中でも、現在のタスクを中断せずに新しい指示を追加できます。¹⁴

指示を追加する方法は2つあります。

実用例：

# Codex is refactoring the auth module...

[Enter] "Use bcrypt instead of argon2 — we already have it as a dependency"
→ Codex adjusts immediately, mid-turn

[Tab] "Once auth is done, update the migration script too"
→ Codex finishes auth refactor, then starts the migration

Steer mode は TUI で常に有効です。Codex の完了を待ってから指示したい場合は、ターンの終了後に通常どおり入力するだけで構いません。特別なモードは必要ありません。

TUI の機能強化（v0.105.0～v0.106.0）

構文ハイライト（v0.105.0）： TUI では、フェンスで囲まれたコードブロックと diff がインラインで構文ハイライトされるようになりました。配色は /theme で選択できます。⁶¹

新しい TUI コマンド（v0.105.0以降）：⁶¹

音声文字起こし（v0.105.0、実験的機能）： スペースキーを押すと、音声文字起こしを使ってプロンプトを入力できます。この機能は実験段階にあり、マイクの使用許可が必要になる場合があります。⁶¹ v0.107.0 以降、リアルタイム音声セッションではマイクとスピーカーのデバイスを選択でき、使用する音声入出力ハードウェアを指定できます。⁶² v0.140.0 で削除され、v0.145.0 で復活： 実験的な /realtime 音声コントロールと関連する音声依存関係は、v0.140.0 で TUI から削除されました（スペースキーによる音声文字起こしには影響ありませんでした）。¹⁰² v0.145.0 では、新たな形で音声機能が復活しています。一般的なローカル音声形式による音声入力と音声ツール出力に加え、ストリーミング方式のリアルタイム V3 会話が導入されました。¹¹² v0.155.0 と v0.156.0：ライブ音声会話。 v0.155.0（2026年9月17日）では、実験的なオプトイン機能として /voice が追加されました。対応ビルドの /experimental から有効にでき、ストリーミング文字起こしとマイク操作を備えたライブ会話を利用できます（#43581、#43651、#44331）。ミュート用ショートカットを設定できるほか（#43690）、macOS パッケージには署名済みの音声リソースが含まれています（#43983）。v0.156.0（2026年9月22日）では安定版となり、デフォルトで有効になりました（#44921）。同日、ドキュメントの変更履歴でも「音声会話はデフォルトで有効になり、F8 による切り替え、/voice settings ピッカー、Linux および Windows 向けの同梱音声ランタイムを利用できます」と発表されました。無効にするには、config.toml の [features] で realtime_conversation = false を設定してください。CLI の slash-command 参照には、現在も /voice が掲載されていません。また、ドキュメントの音声機能ページで扱われているのはデスクトップアプリの ChatGPT Voice であり、別の機能です。¹⁵⁶¹⁶⁹

その他の改善点： - 長いリンクが TUI の行をまたいで折り返されても、クリック可能な状態を維持するようになりました（v0.105.0）⁶¹ - ローカルファイルのリンク表示が改善されました（v0.106.0）⁶⁰ - TUI の Markdown では OSC 8 メタデータによってウェブリンクをクリック可能な状態に保ち、表示領域が狭いテーブルは、リンク先を失うことなく読みやすいキー／値形式に切り替わります（v0.136.0）¹⁶⁸ - 対応ターミナルでは Markdown リンクがクリック可能なラベルとして表示され、それ以外では URL が引き続き表示されます（v0.150.0）¹³² - sub-agents に対する Ctrl+C の処理が修正され、子プロセスを適切に終了できるようになりました（v0.106.0）⁶⁰

Memory System

Codex には、セッションをまたいで事実、設定、プロジェクトのコンテキストを保存する永続的な Memory System（v0.100.0以降）があります。²⁴

Memory コマンド

memory は ~/.codex/memory/ 内の Markdown ファイルに保存されます。Codex はセッション開始時にこれらを読み込み、以後のすべてのセッションで動作を調整するために使用します。

保存に適した内容

memory は、継続的に使う設定やプロジェクトの事実を保存するのに最適です。

• プロジェクトの規約：「このプロジェクトではスペースではなくタブを使用する」または「API の応答には常に meta フィールドを含める」
• ツールの設定：「npm ではなく pnpm を使用する」または「pytest -x --tb=short でテストを実行する」
• アーキテクチャ上の決定：「認証モジュールは src/middleware/ ではなく src/core/auth/ にある」
• ワークフローの設定：「diff を表示する前に必ずリンターを実行する」

パイプラインでの Memory

codex exec の実行時には、memory が自動的に読み込まれます。そのため、CI/CD パイプラインやスクリプトでも対話型セッションと同じコンテキストを利用でき、呼び出すたびに指示を繰り返す必要はありません。

Memory の改良（v0.101.0～v0.107.0）

• 機密情報の除去：memory はディスクに書き込まれる前に自動的にスキャンされ、機密情報がないか確認されます
• CWD の認識：プロジェクト固有の内容を想起できるよう、memory ファイルに作業ディレクトリのコンテキストが含まれるようになりました
• 開発者メッセージの除外：フェーズ1の memory 入力から開発者／システムメッセージを除外し、ユーザーとのやり取りに焦点を当てることで memory の品質を高めます
• diff ベースの忘却（v0.106.0）：diff ベースの忘却によって古くなった事実を削除し、保存される memory を長期的に簡潔で関連性の高い状態に保つようになりました⁶⁰
• 使用状況を考慮した選択（v0.106.0）：memory の取得時に使用状況が考慮され、頻繁に参照されるものや、最近の状況との関連性が高いものが優先されるようになりました⁶⁰
• 設定可能な memory（v0.107.0）：memory を全面的に設定できるようになりました。保存された memory をすべてリセットして白紙の状態に戻すには、codex debug clear-memories を使用します。関連性のないプロジェクトへ切り替える場合や、memory の状態が実態からずれた場合に便利です⁶²
• フェーズ2モデルのアップグレード（v0.121.0）：フェーズ2の memory 統合モデルが、以前のデフォルトから gpt-5.4 に更新されました。フェーズ2のパイプラインはセッション間に実行され、フェーズ1のトランスクリプトから長期保存する事実を抽出します。このモデル変更により、トークンコストを変えずに想起の品質が向上します。⁸²
• TUI の memories メニュー（v0.121.0）：セッション内の新しい UI から、memory モード、個別の memory の削除、リセットボタンを操作できるようになりました。memory をリセットしても、過去の rollouts は無効化されず、保持されるようになりました。そのため、今後想起される内容を消去しても、セッションの再生は損なわれません。⁸²

Memory と AGENTS.md の違い

ヒント：無期限に保持したい事実には /m_update を使用してください。セッション固有のコンテキストは、会話の中で Codex に直接伝えるだけで構いません。チームで共有するコンテキストには、AGENTS.md を使用してください。

セッション管理

Codex はセッションを ~/.codex/sessions/ に保存するため、CLI とデスクトップ環境の間で、再開、フォーク、マルチスレッドのワークフローを利用できます。

v0.146.0 では、スレッドを名前で指定できるようになりました。 /new と /clear にセッション名を指定でき、重要なスレッドをピン留めできます。また、別の会話に移るために現在の会話を閉じる必要がなくなり、サイド会話を開いたままにできます。¹¹⁴ 実際のところ、長期間続くプロジェクトが、日付を手がかりに見分けなければならないタイムスタンプの一覧ではなくなります。v0.147.0 では会話セクションが追加されました。会話を永続的なセクションに整理して手動で並べ替えられるほか、長いトランスクリプトも全体を一度に読み込まず、段階的に閲覧できます。¹¹⁶ v0.148.0 では /export とコマンドラインでのフォークが追加されました。/export は会話全体を Markdown としてクリップボードまたは新しいファイルに出力し、codex exec fork はセッションを非対話形式でフォークします。さらに、再開ピッカーからセッションをアーカイブおよび復元できます。¹¹⁸ v0.149.0 では codex queue が追加されました。コマンドラインから既存のローカルまたはリモートセッションへメッセージを送信できます。また、再開またはフォークしたスレッドで、有効な権限プロファイルが復元されるよう修正されました。¹²⁰ v0.150.0 ではタイトルが自動生成されるようになりました。名前のないターミナルタスクには内容を表すタイトルが自動的に付けられ、/rename では会話に基づく編集可能なタイトルが提案されます。¹³² v0.151.0 では /recap が追加されました。会話の直近の進捗と次のステップを短くまとめた要約を、必要なときにリクエストできます。また、対象となるアイドル状態かつフォーカスされていない会話には、Codex が同じ要約を自動生成してトランスクリプトに追加します。リクエストは範囲と処理環境が分離され、再試行は自動生成に失敗した場合に限られます。¹³⁵ v0.153.0 では、自動生成を無効にできるようになりました。tui.auto_recap = false を設定すると、スケジュール済みの自動要約チェックがキャンセルされ、保留中の自動生成結果も破棄されますが、手動の /recap は引き続き利用できます。¹⁴⁰

codex agents（v0.149.0） は、マシン上で実行中のすべてのエージェントセッションを管理するための対話型ダッシュボードです。1つの画面からタスクの検索、開始、表示、名前変更、停止を行え、ショートカットも設定できます。セッション内では、/agents ですべての実行中のエージェントセッションを切り替え、/subagents で現在のセッションに属するサブエージェントを切り替えます。¹²⁰¹²⁹ v0.150.0 では、会話からタスクを指定できるようになりました。@ メンションで別の Codex タスクを参照し、ターミナルからエージェントにタスクの読み取り、作成、またはメッセージ送信を依頼できます。¹³²

再開

前回の続きから再開します。

codex resume                          # Interactive picker (sorted by recency)
codex resume <SESSION_ID>             # Resume a specific session
codex exec resume --last "continue"   # Non-interactive: resume most recent

TUI 内の /resume slash command でも、検索機能を備えた同じ対話型ピッカーが開きます。

ページネーション対応のスレッド履歴（v0.145.0、v0.151.0 で正式採用）： ページネーション対応のスレッド履歴により、効率的な再開、履歴全体の検索、永続化されたスレッド名、サブエージェント対応、メモリ機能がセッション管理に加わります。履歴は一度にすべて読み込むのではなく、ページ単位で読み込まれます。数百件のセッションが存在する、長期間使用されている作業ディレクトリでは特に重要です。v0.145.0 で実験的機能として導入され、v0.151.0 では APIs が実験的機能から正式採用へ移行しました（thread/turns/list、thread/items/list、thread/revert で実験的な API 機能が不要になりました）。また、ストアが thread/turns/list と thread/items/list に対応し、かつ thread/start で historyMode が省略されている永続スレッドに限り、解決後のデフォルトがページネーション方式になります。エフェメラルスレッドと、これらの APIs に対応していないストアを使用するスレッドでは、引き続き従来方式がデフォルトです。明示的な選択の動作も変わりません。また、タグ rust-v0.151.0 の時点で、プロトコルレベルの ThreadHistoryMode enum は引き続き Legacy がデフォルトです（protocol.rs:755-758）。つまり、対応する永続スレッドに対する解決後のデフォルトであり、一律の切り替えではありません。¹¹²¹³⁵

フォーク

現在の進捗を失わずに別の選択肢を検討できるよう、会話を分岐します。

/fork                              # Fork current conversation
/fork "try a different approach"   # Fork with new prompt

フォークすると、フォーク地点までの履歴を共有する独立したスレッドが作成されます。v0.146.0 以降、フォーク履歴はページネーションに対応し、フォークを一時的なものとして作成できます。一時フォークはスレッド一覧に表示されないため、実際に操作するスレッド一覧に使い捨ての実験が混ざりません。¹¹⁴ 一方のフォークで行った変更が、もう一方に影響することはありません。アプローチを比較したり（例：「フォークして Memcached の代わりに Redis を試す」）、リスクの高い変更を安全に検討したりする際に役立ちます。

サブエージェントへのスレッドのフォーク（v0.107.0）： スレッドを独立したサブエージェントとしてフォークできるようになり、会話から自律的に実行される並行作業ストリームを生成できます。これは既存のフォークモデルを拡張したものです。単に会話を分岐するだけでなく、フォークされたスレッドが固有の実行コンテキストを持つサブエージェントになります。⁶² v0.117.0 以降、サブエージェントはパスベースのアドレス（例：/root/agent_a）と構造化されたエージェント間メッセージングを使用するため、マルチエージェントの連携がより明示的になり、デバッグもしやすくなりました。⁷⁵

暗号化されたエージェント間メッセージ（v0.138.0 以降）： Multi-agent v2 では、親エージェントがサブエージェントを生成したり、メッセージを送信したりする際のタスクテキストが暗号化されます。spawn_agent、send_message、followup_task のメッセージパラメーターには暗号化の指定があります。親モデルがツール呼び出しを生成すると Responses API がペイロードを暗号化し、ローカルで実行中の Codex は暗号文のみを保持します（InterAgentCommunication.encrypted_content に格納され、平文コンテンツは空になります）。その後、受信側モデルへ渡す際に API がサーバー側で復号します。¹⁰⁸ 実用上、次の3つの影響があります。

• ローカルのセッションログには、委任内容の平文が記録されなくなりました。 親エージェントがサブエージェントを生成したことや、その応答は確認できますが、送信された指示の正確な内容は確認できません。セッション履歴からマルチエージェントの実行を監査またはデバッグする場合、その記録は残っていません。この問題を追跡している未解決のリグレッションIssueには、2026年7月中旬時点で修正がリンクされていません。¹⁰⁹ 何が起きたかを再構築する手がかりとしては、拡張機能のライフサイクルイベント（サブエージェントの開始と停止、ツールの実行、ターンのメタデータ — v0.133.0 以降）と app-server の可観測性が残されています。⁹⁸
• カスタムプロバイダーのモデルでは動作しない場合があります。 暗号化されたツールの使用が設定されていないモデルエンドポイントは、暗号化された spawn_agent スキーマを 400 エラー（"declares encrypted parameters but is not configured for encrypted tool use"）で拒否します。カスタムプロバイダーでマルチエージェントの委任がこのエラーによって失敗する場合、原因は設定ではなく、この暗号化の変更です。¹⁰⁹
• Codex が生成する通知は引き続き読めます。 子エージェントの完了通知は Codex 自体が生成するため、平文のままです。また、シリアライズされた JSON エンベロープではなく、型付きの agent_message 項目として表示されるようになりました。¹⁰⁸

OpenAI は、この変更の背景にある脅威モデルを公開していません。PR では暗号文の処理フローを説明していますが、何から保護するためのものかは明記されていません。

Multi-agent v2 の安定化（v0.145.0、オプトイン）： v0.137.0 で登場し、v0.138.0 で委任の暗号化が加わった Multi-agent v2 は、オプトイン機能として安定版になりました。v0.145.0 では、サブエージェントのモデル、サブエージェントごとの推論レベル、同時実行数を設定できるようになり、マルチエージェントのロールが復元されたほか、エージェント間の移動も改善されています。v0.137/v0.138 の調整期間を理由に v2 の利用を見送っていた場合、設定インターフェースが安定したのはこのリリースです。サブエージェントのモデルと推論の選択はランタイムで固定されるのではなく、設定で指定できるようになりました。¹¹²

スレッド一覧

実行中のセッションを表示および管理します。

/status                            # Current session info and token usage
/ps                                # Show background terminals in session

デスクトップアプリでは、スレッドがサイドバーに表示され、履歴全体と差分のプレビューを確認できます。

セッションのライフサイクル

セッションは CLI とデスクトップアプリの間で同期されるため、一方で開始し、もう一方で続きを進められます。

非対話モード（codex exec）

codex exec は、スクリプト、CI/CD、自動化のために Codex を非対話形式で実行します。¹⁵

基本的な使い方

codex exec "summarize the repository structure"
codex exec --sandbox workspace-write -c approval_policy=on-request "fix the CI failure"   # exec has no -a flag; set the policy via -c or config
codex exec --json "triage open bugs" -o result.txt

デフォルトでは、codex exec は進捗やイベントを stderr に、エージェントの最終メッセージを stdout に出力します。標準的な Unix パイプラインと組み合わせやすい設計です。

セッションのアーカイブ（v0.136.0）

履歴を削除せず、再開／フォークの一覧を整理するためにセッションをアーカイブできます。TUI では /archive、シェルでは次のようにアーカイブします。¹⁶⁸

codex archive <session-id>     # archive a session
codex unarchive <session-id>   # restore it

アーカイブしたセッションは、アーカイブを解除するまで再開やフォークの対象になりません。終了させるつもりだったセッションを誤って続行するのを防ぐガードレールです。同じリリースでは、codex app-server --stdio により、エディターやホストとの統合に向けて app-server を stdio モードで起動できるようになりました。また、コマンドの安全性を確保する修正として、/diff からリポジトリ提供の Git ヘルパーを実行できなくなりました。Windows では、管理者向けのアルファ版プロビジョニング手段として codex sandbox setup --elevated が追加されています。¹⁶⁸

JSON Lines 出力

--json を指定すると、stdout は JSONL イベントストリームになります。

codex exec --json "fix the tests" | jq

イベントの種類：thread.started、turn.started/completed/failed、item.started/completed、error

{"type":"thread.started","thread_id":"019c5c94-..."}
{"type":"turn.started"}
{"type":"item.started","item":{"id":"item_1","type":"command_execution","status":"in_progress"}}
{"type":"item.completed","item":{"id":"item_3","type":"agent_message","text":"..."}}
{"type":"turn.completed","usage":{"input_tokens":24763,"cached_input_tokens":24448,"output_tokens":122}}

構造化出力

JSON Schema を使用して、レスポンスの形式を強制します。

codex exec "Extract project metadata" \
  --output-schema ./schema.json \
  -o ./project-metadata.json

-o / --output-last-message は、最終メッセージをファイルに書き込みます。

セッションの再開とレビュー

codex exec resume --last "continue where you left off"
codex exec resume <SESSION_ID> "fix the remaining issues"
codex exec review --base main           # Code review against a branch

主なフラグ

CI 認証

codex exec は、自動化環境での非対話認証に CODEX_API_KEY を使用できます。

codex exec の起動バナー（v0.130.0）。 codex exec の起動バナーには、従来の「research preview」という文言が表示されなくなりました。CI で起動時の出力を解析している場合、バナーのテキストが簡潔になっている点に注意してください。構造化された --json イベントに変更はありません。⁹¹

codex remote-control（v0.130.0 以降）

codex remote-control は、別のプロセス（IDE 拡張機能、カスタムオーケストレーター、リモート制御プレーンなど）から操作することを想定した、ヘッドレス app-server を起動するトップレベルコマンドです。多くのインテグレーターが複数のフラグを手作業で組み合わせていた codex app-server の呼び出しに代わり、デスクトップや IDE のインターフェースで提供されるものと同じ app-server ランタイムに、サードパーティ製ツールからアクセスできる単一の安定したエントリーポイントを提供します。⁹¹ v0.133.0 ではコマンドの実行形態が改善され、フォアグラウンドコマンドとして実行し、準備完了を待機して、マシンの状態を報告できるようになりました。さらに、長時間稼働するコントローラー構成向けに、明示的なデーモン形式の start / stop コマンドも引き続き利用できます。⁹⁸ v0.143.0 では codex remote-control pair が追加されました。 実行中のデーモンから手動ペアリングコードを生成するため、自動検出ハンドシェイクを使わずにコントローラーを接続できます。制御プロセスとデーモンが異なるホストやネットワークセグメントにある場合に便利です。¹⁰⁶

# Start a headless, remotely controllable app-server
codex remote-control

# Generate a manual pairing code for an out-of-band controller (v0.143.0+)
codex remote-control pair

# Same lifecycle as a TUI session: thread store, hooks, plugins, MCP, sandbox
# all initialize from your normal config.toml.

すべてのターンを一度にメモリへ読み込まず、大量のスレッド履歴を列挙する必要がある UI を構築する場合は、codex remote-control と以下の app-server ページネーション APIs を組み合わせてください。

App-Server のスレッドページネーション（v0.130.0 以降）

app-server クライアントでは、3種類のターン項目ビューを使用して、大規模なスレッドをページ単位で取得できるようになりました。⁹¹

v0.121.0 で導入された ThreadStore インターフェースとページネーションを組み合わせることで、長時間実行されるスレッドを効率よくたどれます。特に、オーケストレーターとロールアウトファイルが別のマシンに置かれる可能性があるリモート制御環境で有効です。⁸² v0.143.0 では、コントローラーが調査できる範囲が広がりました。 app-server クライアントで、利用可能な環境の列挙、スレッドの子孫スレッドの一覧表示、特定のターンを起点とした履歴のフォークが可能になりました。これらは、履歴を先頭から再実行せず、以前の時点から実行を分岐させる UI に必要な基本機能です。¹⁰⁶ v0.151.0 では、ページネーション対応のスレッド履歴 APIs が実験段階を終了しました。 対応するストアを使用する永続スレッドでは、thread/start で historyMode を省略すると、デフォルトでページネーション対応履歴が使用されます（エフェメラルスレッドと非対応ストアでは従来方式が維持されます）。また、ページネーション対応スレッドでの全履歴の読み込みは非推奨となりました（#40676）。¹³⁵

App-Server 設定のライブ更新（v0.130.0 以降）

実行中の app-server スレッドは、再起動しなくても config.toml の変更を反映できるようになりました。設定を編集して保存すると、実行中のスレッドでは次のターンから新しい値が反映されます。これは codex remote-control と対になるバグ修正であり、長時間稼働するヘッドレスサーバーを停止せず、その場で再設定できます。⁹¹

ターン単位のライブ設定（v0.151.0）： 実行中のターンの設定を、処理の途中でも変更できるようになりました。実験的な app-server メソッド turn/settings/update は、特定の実行中ターンにおける後続ステップの model、effort、summary、serviceTier を更新します。将来のターンには影響しません。また、更新が適用されたか、拒否されたか、対象を見失ったかを報告します。更新後の設定スナップショットが公開される前に、管理対象の制約が再検証され、そのターンですでに許可された承認および Guardian の安全性プロパティも維持されます。turn/start では serviceTierForTurn も指定できるため、スレッドに保存されたサービスティアを変更せず、新しい1ターンだけサービスティアを上書きできます（"default" は標準速度を意味し、省略または null の場合はスレッドのティアを継承します）。¹³⁵

暗号化されたリモートエグゼキューター（v0.141.0）

v0.141.0（安定版、2026年6月18日）以降、リモートエグゼキューターは、認証済みのエンドツーエンド暗号化 Noise リレーチャネルを介して接続します。制御プレーンとエグゼキューターは、その間にあるリレーを信頼する必要がなくなりました。オーケストレーターがネットワーク境界を越えて app-server を操作する場合に重要です。同じリリースでは、クロスプラットフォームのリモート実行で、エグゼキューター固有の作業ディレクトリとシェルが維持されるようになりました。これにより、ある OS 上のコントローラーから別の OS 上のエグゼキューターを操作しても、パスやシェルのセマンティクスが意図せず書き換えられることはありません。また、エンタープライズプロキシとの互換性を確保するため、TLS で P-521 証明書署名も受け入れられるようになりました。¹⁰³

Codex Cloudとバックグラウンドタスク [EXPERIMENTAL]

GitLabサポート（ベータ版、2026年8月19日）： Codex cloudでは、すべてのChatGPTプランでGitLabプロジェクトに接続できるようになりました。プロジェクトをリンクし、環境を作成して、issueやマージリクエストからタスクを開始したり、レビューを依頼したりできます。Self-Managed GitLabには19.0以降が必要です。¹¹⁹

ステータス：Codex Cloudは実験的な機能です。インターフェース、料金、利用可能状況は変更される場合があります。クラウド環境はOpenAIが管理するため、インフラストラクチャを制御することはできません。

Codex Cloudは、OpenAIが管理する環境でタスクを非同期に実行します。⁴ CLI v0.150.0以降、ターミナル上の会話からもタスクを操作できます。@メンションで他のCodexタスクを参照し、エージェントにタスクの読み取り、作成、メッセージ送信を依頼できます。¹³² CodexをCIパイプラインに統合する方法については、GitHub ActionとCI/CDもご覧ください。

クラウドタスクの認証情報を強化（v0.152.0）： クラウドタスクのリクエストには保存済みのChatGPT認証情報が含まれる可能性があるため、認証情報を読み込む前の段階で送信先が制限されるようになりました。CODEX_CLOUD_TASKS_BASE_URLは、ポート443上の信頼できるChatGPT HTTPSオリジンに対して検証されます（ユーザー情報、クエリ、フラグメントを含むURLは拒否されます）。また、認証情報がリダイレクト先へ転送されないよう、クラウドタスクのバックエンドと環境検出クライアントではリダイレクトが無効化されています。¹³⁸

仕組み

1. タスクを送信します（chatgpt.com/codex、Slack連携、またはCLIから）
2. Codexがリポジトリを隔離されたクラウドサンドボックスへクローンします
3. エージェントが独立して作業します。コードを読み、テストを実行し、変更を加えます
4. 完了すると、CodexがPRを作成するか、レビュー用のdiffを提供します
5. codex apply <TASK_ID>で結果をローカルに適用します

クラウドでのインターネットアクセス

エージェントのインターネットアクセスはデフォルトでオフになっており、環境ごとに設定します。

• オフ：エージェントはインターネットにアクセスできません（デフォルト）
• オン：任意のドメイン許可リストとHTTPメソッドの制限を設定できます

Allowed domains: pypi.org, npmjs.com, github.com
Allowed methods: GET, HEAD, OPTIONS

エージェントのインターネットアクセスがオフでも、セットアップスクリプトはインターネットを使用して依存関係をインストールできます。

Slack連携

Slackのチャンネルまたはスレッドで@Codexにメンションすると、クラウドタスクを開始できます。

前提条件： 1. 対象となるChatGPTプラン（Plus、Pro、Business、Enterprise、またはEdu） 2. 接続済みのGitHubアカウント 3. 設定済みのクラウド環境が1つ以上 4. ワークスペースにSlackアプリがインストールされていること

Codexはタスクへのリンクを返信し、完了すると結果を投稿します。

Cloud CLI

codex cloud exec --env <ENV_ID> "Fix failing tests"  # Start a cloud task
codex cloud status <TASK_ID>                          # Check task progress
codex cloud diff <TASK_ID>                            # View task diff
codex cloud list                                      # List recent tasks
codex cloud list --json                               # JSON output
codex cloud apply <TASK_ID>                           # Apply from cloud subcommand
codex apply <TASK_ID>                                 # Apply diff (top-level shortcut)

Codex Desktop App

Codex Desktop App（macOS および Windows）は、複数のプロジェクト管理に最適化されたグラフィカルインターフェースを提供します。¹⁶ Windows 版は、PowerShell のネイティブサポートと Windows ネイティブのサンドボックスを備え、2026年3月4日にリリースされました。⁶⁶

インストール

codex app                      # Auto-downloads and installs on first run

または直接ダウンロード：Codex.dmg（macOS）| Microsoft Store で入手可能（Windows）

主な機能

Appshots、ブラウザコメント、Computer Use

5月21日のアプリアップデートにより、Desktop App は単なるスレッド管理ツールではなく、より強力なコンテキスト取得手段になりました。Codex が処理を実行する前に別の Mac アプリの状態を必要とする場合は、Appshots を使用します。Codex は最前面のウィンドウと、アプリが公開している表示中／画面外の取得可能なテキストをキャプチャし、添付ファイルをセッション履歴へローカルに保存します。⁹⁹

Web やフロントエンドの作業では、未認証のページであれば、まずアプリ内ブラウザを使用します。Codex と共有できるレンダリング済みプレビューが表示され、クリック、スクリーンショット、アセットのダウンロード、読み取り専用の検査 JavaScript などのブラウザ操作に対応しています。また、ページ上の領域にコメントを付け、次のターンで Codex に対応させることもできます。⁹⁹ ログインが必要なサイトでは、引き続きブラウザ拡張機能（Chrome、Edge、Brave、Opera、Vivaldi。Opera ではサイドチャットを利用できません）を使用してください。サイトツール（WebMCP、2026年8月25日）：Desktop App の組み込みブラウザでは、ChatGPT Work と Codex が Web サイトから提供されるツールを使ってページを操作できます。最新の Desktop App で GPT-5.6 Sol または GPT-5.6 Terra を使用してください。サイトツールは GPT-5.6 Luna、Enterprise ワークスペース、Edu ワークスペースでは利用できません。¹²⁷

Computer Use は、構造化された連携機能やブラウザプレビューでタスクを検証できない場合にのみ使用します。許可された Mac アプリの確認と操作が可能ですが、ファイル編集やシェルコマンドには Codex の承認ルールとサンドボックスルールが適用されます。また、ロック中の使用は限定的です。Mac のロック後、信頼済みのアクティブな Computer Use ターンの間のみ、許可されたアプリへ Codex が一時的にアクセスできます。再ロックの保護機能とローカル入力の検出機能も備えています。⁹⁹

スレッドモード

各スレッドは、作成時に選択した3つのモードのいずれかで実行されます。

Worktree の分離メカニズム：

Worktree スレッドを開始すると、Desktop App は次の処理を行います。 1. 一時ディレクトリに新しい git worktree（git worktree add）を作成します 2. 現在の HEAD から新しいブランチをチェックアウトします 3. worktree 内でエージェントを実行します — すべてのファイル変更が分離されます 4. 完了後に差分レビューを表示します — どの変更を元へマージするかを選択できます

このため、同じリポジトリ上で複数の Worktree スレッドを競合なく同時に実行できます。それぞれに独自のブランチと作業ディレクトリが割り当てられます。

Worktree の設定とスレッド所有権（v0.151.0）： 管理対象 worktree の動作は、専用の設定パーサーによって既存の [desktop] 設定から解決されます。worktree のルートはデフォルトで $CODEX_HOME/worktrees、自動クリーンアップはデフォルトで有効、保持される worktree は15個です。設定されたルート、クリーンアップフラグ、保持数は使用前に検証されます。管理対象のリンク済み worktree には、スレッドとの関連付けを記録する、バージョン管理された codex-thread.json 所有権レコードを Git メタデータ内に保持することもできます。書き込みはアトミックかつ上書き禁止です（同じ関連付けの繰り返しは冪等であり、所有者が競合する場合は拒否されます）。また、所有権メタデータに触れる前に、プライマリ、ネストされたチェックアウト、管理対象外のチェックアウトは拒否されます。¹³⁵

管理対象 worktree が v0.154.0 で CLI に対応（実験的機能）： 起動時の --worktree または TUI の /worktree により、新規またはフォークされたセッション用の分離チェックアウトを作成できます。codex exec は自動化向けの管理対象 worktree に対応し、TUI のセッションコマンドと worktree ブラウザでは、worktree セッションの一覧表示、閲覧、再開が可能です（#42196、#42366、#42652、#43069、#43120、#43286）。v0.155.0 では、worktree をデフォルトで無効のまま維持しつつ、関連する管理機能が追加されました： エージェントの概要画面から worktree セッションを非表示、アーカイブ、削除でき、所有権の詳細も表示されます。また、変更のない管理対象 worktree を削除する際には確認を求められます（#43942、#44424、#44433）。9月11日にマージされたデフォルト有効化の変更（#44870）は、rust-v0.155.0 タグとの祖先関係を確認した結果、安定版 0.155.0 には含まれていませんでした。¹⁵²¹⁵⁶

v0.156.0 では管理対象 worktree がデフォルトになります： #44870 により worktrees が安定版機能へ昇格し、デフォルトで有効化され、/experimental から削除されました。併せて、worktree セッションは独自のデーモンを起動する代わりに既存のローカルデーモンへ接続できるようになり（#46498）、エージェントの概要画面から直接作成することも可能になりました（#45276）。この画面にはステータスフィルターのタブも追加されています（#46839）。worktree は明示的に要求しない限り無効であるという前提でスクリプトや設定を作成している場合、0.156.0 でその動作が変わります。無効にするには： config.toml の [features] で worktrees = false を設定します（実行ごとに無効化する場合は --disable worktrees）。古いローカルデーモン： 「The local Codex service cannot check background terminals」というメッセージで worktree の作成や /cd がブロックされる場合は、codex app-server daemon update を実行して Codex を再起動してください。¹⁶⁹¹⁷¹

自動化

自動化はアプリ内でローカル実行されるため、アプリが起動しており、プロジェクトがディスク上で利用可能でなければなりません。

• Git リポジトリでは、自動化に専用のバックグラウンド worktree を使用します（作業ディレクトリから分離されます）
• Git を使用していないプロジェクトでは、プロジェクトディレクトリ内で直接実行されます
• 自動化には、デフォルトのサンドボックス設定が適用されます

自動化の設定方法： 1. Desktop App でプロジェクトを開きます 2. サイドバーの Automations タブをクリックします 3. トリガー（スケジュール、Webhook、手動）を定義します 4. プロンプトを記述し、実行モード（Local または Worktree）を選択します 5. 自動化の実行に使用する推論レベルを設定します（App v26.312）⁷² 6. 自動化がスケジュールどおりに実行され、結果がレビュー待ちキューに追加されます

使用例： - Issue のトリアージ：新しい Issue を自動的に分類し、優先順位を付けます - CI の監視：ビルドの失敗を監視し、修正案を提示します - アラート対応：監視アラートに反応し、診断分析を行います - 依存関係の更新：セキュリティパッチを確認して適用します

結果は、人による承認を受けるためのレビュー待ちキューに表示されます。

Windows のサポート

Codex Desktop App は、PowerShell のネイティブサポートと Windows ネイティブのサンドボックスを備え、2026年3月4日（App v26.304）に Windows 向けにリリースされました。WSL を必要とせず、skills、自動化、worktrees を含むすべての機能を利用できます。⁶⁶

GitHub Action と CI/CD

公式の GitHub Action を使用すると、Codex を CI/CD パイプラインに統合できます。¹⁸

基本的な使い方

# .github/workflows/codex.yml
name: Codex
on:
  pull_request:
    types: [opened]

jobs:
  codex:
    runs-on: ubuntu-latest
    outputs:
      final_message: ${{ steps.run_codex.outputs.final-message }}
    steps:
      - uses: actions/checkout@v5
      - name: Run Codex
        id: run_codex
        uses: openai/codex-action@v1
        with:
          openai-api-key: ${{ secrets.OPENAI_API_KEY }}
          prompt-file: .github/codex/prompts/review.md
          sandbox: workspace-write
          safety-strategy: drop-sudo

設定オプション

出力：final-message。後続のステップ／ジョブで使用する Codex の最終応答テキストです。

セーフティ戦略

アクセス制御

with:
  allow-users: "admin,maintainer"     # Limit who can trigger
  allow-bots: false                   # Block bot-triggered runs

デフォルトでは、書き込み権限を持つコラボレーターのみが Codex ワークフローをトリガーできます。

Codex SDK

TypeScript SDK を使用すると、Codex のエージェント機能をカスタムアプリに組み込めます。¹⁹

インストール

npm install @openai/codex-sdk

基本的な使い方

import { Codex } from "@openai/codex-sdk";

const codex = new Codex();
const thread = codex.startThread();

// Multi-turn conversation
const turn1 = await thread.run("Diagnose CI failures and propose a fix");
console.log(turn1.finalResponse);

const turn2 = await thread.run("Implement the fix and add tests");
console.log(turn2.items);

// Resume a previous session
const resumed = codex.resumeThread("<thread-id>");
await resumed.run("Continue from previous work");

SDK の高度な機能

• runStreamed(...)：途中経過を受け取るための非同期イベントストリーム
• Python SDK 認証（v0.132.0以降）：API キーによるログイン、ChatGPT のブラウザ／デバイスコードフロー、アカウント情報の確認、ログアウトが、SDK の正式な操作経路になりました。⁹⁷
• テキストのみのターンを簡単に扱える機能（v0.132.0以降）：Python のターン API はプレーン文字列を受け取り、収集された項目、所要時間、使用量を含む、より充実した TurnResult メタデータを返します。⁹⁷
• outputSchema：最終出力を JSON 形式に制約
• マルチモーダル入力：テキストとローカル画像を渡せます（{ type: "local_image", path: "..." }）
• 画像ワークフロー（v0.117.0）：view_image が URL を返し、生成画像を再び開けるようになりました。また、セッションを再開しても画像履歴が維持されます。⁷⁵
• 複数環境での view_image（v0.130.0）：複数の環境にまたがるセッション（ターンごとの環境と作業ディレクトリの選択機能として v0.124.0 で導入され、環境の選択を維持する機能が v0.125.0 で改良されました）では、view_image がオーケストレーターのローカルファイルシステムではなく、選択した環境を通じてファイルパスを解決するようになりました。リモート環境から添付した画像は、SDK を実行しているホストではなく、その環境の作業ディレクトリを基準に取得されます。⁹¹

スレッドとクライアントの設定

// Custom working directory, skip git check
const thread = codex.startThread({
  workingDirectory: "/path/to/project",
  skipGitRepoCheck: true,
});

// Custom environment and config overrides
const codex = new Codex({
  env: { CODEX_API_KEY: process.env.MY_KEY },
  config: { model: "gpt-5.5" },
});

セッションは ~/.codex/sessions に保存されます。

ランタイム：Node.js 18以降。

パフォーマンスの最適化

コンテキスト管理

コンテキストウィンドウはモデルによって異なります。現在の GPT-5.6 ファミリー（Sol、Terra、Luna）は 272K、前世代のフラッグシップである GPT-5.5 は Codex で 400K（API では1M）、GPT-5.4 / GPT-5.4-mini（2026年8月31日に Codex での提供を終了予定）は 1M / 400K、旧世代の GPT-5.3-Codex ファミリーは 入力272K + 出力128K（合計400Kの予算）でした。いずれも予想以上に早く上限に達するため、先回りして管理しましょう。

1. /compact を定期的に使用する：会話履歴を要約し、トークンを解放します
2. ローカルドキュメントを用意する：質の高い AGENTS.md とローカルドキュメントがあれば、コンテキストを消費する調査の負担を軽減できます
3. @ で特定のファイルを添付する：Codex にファイルを探させるのではなく、ファイルを直接指定します
4. プロンプトの焦点を絞る：対象ファイルを明示した範囲の狭いプロンプトは、自由度の高い調査よりもコンテキストの消費を抑えられます

試験的なコンテキスト管理（v0.153.0、デフォルトでは無効）：features.context_management.experimental_mode を有効にすると、Codex バックエンドを使用する対象の ChatGPT Plus、Pro、Pro Lite セッションで、トークン予算に応じたコンテキスト、履歴メモ、new_context ツールからなる連携型のコンテキストスタックが有効になります。API キーを使用するセッション、カスタムプロバイダー、Codex 以外のエンドポイント、一時的な構造化スレッドは対象外です。また、このフラグは明示的に開発中とされているため、ワークフローの基盤ではなく、今後のコンテキスト処理の方向性を示すプレビューとして扱ってください。¹⁴⁰ v0.154.0では、機能対応状況に基づく判定が追加されました：セッション開始時に、アクティブなモデルの機能に基づいて対象かどうかが判定されます（#43147）。これは Codex のモデルに関するドキュメントで、Plus および Pro へのサインイン時に Astra の名前と関連付けられているものと同じ機能情報です（「どのモデルを選ぶべきか？」にあるコンテキスト横断の注記をご覧ください）。¹⁴⁶¹⁵² v0.157.0時点では、同梱カタログ内にこの機能への対応が指定されたモデルはないため（#47397）、そのカタログを使用する場合、この設定は効果がありません。¹⁷⁴

トークン効率

速度の最適化

1. gpt-5.3-codex-spark：対話形式のペア作業に適した低レイテンシー版
2. --profile fast：推論レベルを低く設定した、事前構成済みの gpt-5.6-luna
3. ツールの並列実行：Codex は独立した読み取りや確認を同時に実行するため、それが可能になるようプロンプトを構成します
4. 成果を重視したループ：「手順どおりに進める」のではなく、「実装し、テストし、修正し、成功したら終了する」と依頼します

問題をデバッグするには？

よくある問題と解決方法

エラーメッセージ一覧

codex doctor は何をするコマンドですか？

codex doctor は、バグを報告したり、壊れたインストールをデバッグしたりする前に実行する 基本コマンドです。ローカルのランタイム、設定、認証、ターミナル、ネットワーク、状態を 1つのレポートにまとめます。プロジェクトの Issue テンプレートでも、その出力を貼り付けるよう求められます。¹⁶³

codex doctor                           # Full human-readable report (the default)
codex doctor --summary                 # Compact view
codex doctor --json                    # Redacted structured JSON, for bug reports
codex doctor --all                     # Expand truncated lists
codex doctor --no-color                # Strip ANSI color

レポートは一定のセクション構成になっているため、必要な箇所だけをすぐに確認できます。¹⁶³

各チェックには、概要行とともに ✓ 正常、✗ 失敗、⚠ 警告、○ 待機中というステータス記号が 表示されます。--json では各チェックに安定した識別子がキーとして付くため、目視確認だけでなく、 CI やサポートスクリプトでも利用できます。¹⁶³

このコマンドはリリースを重ねるごとに拡張されています。v0.131.0 で導入され、v0.135.0 では環境、Git、 ターミナル、アプリサーバー、スレッド一覧のレポート機能が追加されました。さらに v0.139.0 では、エディターとページャーの 詳細も追加されています（JSON では機密値がマスキングされます）。^96176165

最後ではなく、最初に使いましょう。 「Codex が壊れている」という報告の多くは、doctor が すでに特定できる問題に行き着きます。たとえば、古い認証モード、解析に失敗した config.toml、または PATH 上で本来のインストールを覆い隠している別のインストールです。

診断ツール

codex doctor                           # Full local diagnostic (start here)
codex --version                        # Check CLI version
codex login status                     # Verify authentication
codex mcp list                         # Check MCP server status
codex debug app-server --help          # Debug app server issues

セッション内の TUI 診断：

/status                                # Token/session overview
/debug-config                          # Show config layers and requirement sources
/compact                               # Summarize history to reclaim context

注：codex --verbose は有効なトップレベルフラグではありません。上記のデバッグ用サブコマンドと TUI 診断を使用してください。

クリーン再インストール

npm uninstall -g @openai/codex && npm install -g @openai/codex@latest

~/.codex/（認証、設定、セッション）は保持されます。正確なバージョンへの固定、不具合のあるリリース後の ダウングレード、または状態の完全消去については、 更新、ダウングレード、アンインストールをご覧ください。

デバッグモード

codex debug app-server send-message-v2  # Test app-server client

問題の報告

/feedback                              # Send logs to Codex maintainers (in TUI)

または、github.com/openai/codex/issues で Issue を作成してください。¹

Codex Security［PREVIEW］

Codex Security は2026年3月6日にリサーチプレビューとして公開され、コンテキストを考慮したアプリケーションセキュリティレビューが Codex スタックに加わりました。⁷⁷ ChatGPT Pro、Enterprise、Business、Edu のユーザーは、Codex web から利用できます。

仕組み：Codex Security はリポジトリを分析してプロジェクト固有の脅威モデルを構築し、現実の影響度に基づいて分類した脆弱性を特定します。さらに、サンドボックス環境で検出結果を厳しく検証し、その妥当性を確かめます。重要度の低いバグによるノイズを抑えながら、信頼度の高い検出結果と修正方法を提示します。

実績：リサーチプレビュー期間中、Codex Security は120万件のコミットをスキャンし、深刻度の高い脆弱性を10,561件特定しました。精度は継続的に向上し、ノイズを84%削減、過大評価された深刻度を90%以上削減、偽陽性率を半減させています。また、OpenSSH、GnuTLS、Chromium で実在する脆弱性を発見し、14件に CVE が割り当てられました。⁷⁷

注：Codex Security は、CLI に組み込まれたサンドボックスセキュリティモデルとは別のものです。サンドボックスは Codex からマシンを保護し、Codex Security は脆弱性からコードベースを保護します。

エンタープライズ展開

管理者による制御（requirements.toml）

管理者は、ユーザーが上書きできないセキュリティ上重要な設定を制約する、管理者適用の設定ファイル requirements.toml を通じてエンタープライズポリシーを適用します。²¹

v0.146.0では、エンタープライズプランの認識と、アプリ内アップデートに対する管理者制御が追加されました。¹¹⁴ 管理対象の端末群では、開発者が新しいリリースに気付くたびに CLI を各自で更新するのか、管理者がバージョンの展開時期を決めるのかという違いになります。リリースノートではこの制御が発表されていますが、対応する requirements.toml のキーは公開されていません。OpenAIが文書化するまでは、正確な設定名は未検証として扱ってください。

# /etc/codex/requirements.toml

# Restrict which approval policies users can select
allowed_approval_policies = ["on-request", "never"]   # `untrusted` retired in v0.149.0

# Limit available sandbox modes
allowed_sandbox_modes = ["read-only", "workspace-write"]

# Control web search capabilities
allowed_web_search_modes = ["cached"]

# Allowlist MCP servers by identity (both name and identity must match)
[mcp_servers.approved-server]
identity = { command = "npx approved-mcp-server" }

# Admin-enforced command restrictions
[[rules.prefix_rules]]
pattern = [{ token = "rm" }, { any_of = ["-rf", "-fr"] }]
decision = "forbidden"
justification = "Recursive force-delete is prohibited by IT policy"

[[rules.prefix_rules]]
pattern = [{ token = "sudo" }]
decision = "prompt"
justification = "Elevated commands require explicit approval"