Codex CLI：決定版テクニカルリファレンス

要点： Codexは、複数の環境で使えるコーディングエージェントです。コードベースを読み取り、OSレベルのサンドボックスでコマンドを実行し、ファイルを修正し、クラウドにタスクを委任します。config.toml、サンドボックスと承認のモデル、AGENTS.md、MCP、skillsという5つの仕組みを使いこなせば、開発の力を大きく引き出せます。モデルの選び方： OpenAIのモデルドキュメントでは現在、複雑なコーディングやエージェントによる作業にはGPT-6.1 Sol（gpt-6.1-sol、v0.159.1以降はCLIに同梱されるデフォルトモデル）、最も難度の高い一連の作業にはGPT-6-Astra、対象が明確で繰り返し行うタスクにはGPT-6 Lunaを推奨しています。利用できるモデルはプラン、クライアント、ワークスペースの設定によって異なります。GPT-6 SolとGPT-5.6の各モデルは引き続き選択でき、ChatGPTでサインインする場合、GPT-5.5は2026年10月14日にCodexでの提供を終了します。^146171178 初めて使う方は、インストールとクイックスタートから始めましょう。リリース情報をお探しですか？最新の安定版はv0.164.0（2026年10月23日）です。再利用可能なプロンプトを保存する10個の/presetsスロット、/modelと/permissionsへのインライン引数指定、全画面の会話履歴での画像プレビュー、企業が管理するMCPサインインが追加され、Bedrockセットアップウィザードがデフォルトで有効になりました。リリースの注目点では、まず現状（デフォルトで有効な機能と、まだ実験段階にある機能）をまとめ、その後に各バージョンを解説しています。変更履歴には、このガイドのすべての更新を記載しています。^116178182183

Codexは、複数の環境で動作するコーディングエージェントです。 コードを書くチャットボットにとどまりません。CLIはコードベースを読み取り、サンドボックス内でコマンドを実行し、ファイルを修正し、MCPを介して外部サービスに接続し、時間のかかるタスクをクラウドに委任します。ローカルで動作しながら、作業の範囲はそこに限定されません。同じ知能を、作業スタイルに応じた5つの異なる環境で利用できます。その1つがブラウザー拡張機能（Chrome、Edge、Brave、Opera、Vivaldi対応）で、ブラウザーの操作を奪うことなく、その中でCodexを実行できます。⁹⁰¹²⁷

Codexをただ使うだけか、効果的に活用できるか。その違いを生むのは、5つの中核となる仕組みです。 これらを使いこなすことで、Codexは開発の力を大きく引き出してくれます。

1. 設定の仕組み：config.tomlを通じて動作を制御します
2. サンドボックスと承認のモデル：Codexに許可する操作を制御します
3. AGENTS.md：プロジェクト単位の動作ルールを定義します
4. MCPプロトコル：外部サービスとの連携によって機能を拡張します
5. skillsの仕組み：再利用可能な専門知識をパッケージ化します

本番環境のコードベース、CI/CDパイプライン、チームのワークフローで、数か月にわたってCodexとClaude Codeを併用してきました。このガイドは、その経験を凝縮し、使い始めたときに欲しかった包括的なリファレンスとしてまとめたものです。各機能について、実際の構文、具体的な設定例、そして経験豊富なユーザーでもつまずく例外的なケースを紹介しています。

要点

• 5つのインターフェース、1つの頭脳：CLI、デスクトップアプリ、IDE拡張機能、クラウドタスク、ブラウザ拡張機能（Chrome、Edge、Brave、Opera、Vivaldi）は、すべて同じモデルファミリーを共有しています。ワークフローに合うものを選びましょう。⁹⁰
• OSレベルのサンドボックス：Codexは、コンテナ内ではなくカーネルレベルでファイルシステムとネットワークの制限を適用します（macOSではSeatbelt、Linuxではbubblewrap + seccomp）。
• AGENTS.mdは複数のツールで共通して使えます：プロジェクトの指示は、Codex、Cursor、Copilot、Amp、Jules、Gemini CLI、Windsurf、Cline、Aider、Zed、および60,000以上のオープンソースプロジェクトで機能します。一度書けば、どこでも利用できます。
• プロファイルでコンテキスト切り替えの負担を軽減：名前付きの設定プリセット（fast、careful、auto）を定義し、--profileで切り替えられます。
• コンテキスト管理が重要です：Codexに同梱されているカタログでは、GPT-6.1 Sol、GPT-6 Astra、Sol、Luna、およびGPT-5.6ファミリーに272Kのコンテキストウィンドウが提供されます（APIでは、GPT-6.1 Sol、GPT-6 Sol、Lunaは1.05Mと記載されています）。GPT-5.5は、2026年10月14日にCodexで提供終了となるまで、400Kを利用できます。/compact、焦点を絞ったプロンプト、@file参照を活用し、トークン予算を先回りして管理しましょう。^83112178

このガイドの使い方

これは3,300行を超えるリファレンスです。経験レベルに合った箇所から始めてください。

末尾のクイックリファレンスカードでは、主要なコマンドをひと目で確認できるようにまとめています。

リリースの主な変更点：最近の更新

Codexのリリース動向を追う方向けに、バージョンごとの変更を新しい順にまとめています。初めて使う場合は、クイックスタートに進んでください。使い始めるために、以下の内容を読む必要はありません。検証の詳細（差分比較、コミット一覧、ドキュメントの確認）は脚注に記載しています。

現在の状況

2026年10月23日時点のCodex CLI

• 安定版： v0.164.0（10月23日、npm latest）は、0.164.0-alpha.11にリリース用コミットを1件加えて作成されました（alpha.12には、この安定版に含まれない9件のコミットがあります）。v0.163.0からの差分は330件のコミットです。再利用できるプロンプトとslash commandsを保存する10個の番号付き/presetsスロット、インライン指定の/model [model] --reasoning <level> --speed <tier>と/permissions <profile-id>、KittyまたはSixel対応ターミナルの全画面トランスクリプトでの画像プレビュー、MCP接続に対する企業管理の認可、対応するリモートBashコマンドでの認証情報のマスキング（credential_maskingフラグで制御）が追加され、Amazon Bedrockセットアップウィザードがデフォルトで有効になりました。その前のv0.163.0（10月15日）では、検索可能な/configパネルとリーダーキーが追加され、Daybreakがデフォルトで有効になりました。
• アルファ版： npm alphaは0.165.0-alpha.1です（10月23日、安定版の数時間後）。このタグではreasoning_effort_overrideが安定版扱いで有効になり、guardianv3、guardian_recorded_items、tui_multi_backendが新たに追加され、無効になっています。0.164系はalpha.1（10月16日）からalpha.12（10月22日）まで進み、並行して通常のリリース系列外のビルドである0.163.0-alpha.11.1と11.2（10月21〜22日）、0.164.0-alpha.11.1（10月23日）も公開されました。
• v0.159.1以降のデフォルトモデル： Amazon Bedrockを含め、GPT-6-Astraに代わってGPT-6.1 Solになりました。別のモデルを使い続けるには、config.tomlでmodelを設定してください。v0.164.0に同梱されるカタログは、v0.162.1およびv0.163.0のものとバイト単位で同一で、掲載モデルもv0.159.1と同じです。
• v0.164.0以降、デフォルトで有効： Amazon Bedrockセットアップウィザード（bedrock_setup_wizard、安定版。[features]でbedrock_setup_wizard = falseを設定すると無効になります）、ツールの差分更新（incremental_tools、安定版）、MCPのOAuth更新の協調制御（mcp_oauth_refresh_coordination、安定版）です。管理対象のworktreesとリアルタイム会話は常時有効になりました。フラグは削除済み扱いとなり、機能は有効のまま維持されます。
• v0.163.0以降、デフォルトで有効： Daybreak（cli_daybreak、現在は安定版。[features]でcli_daybreak = falseを設定すると操作項目が非表示になります）とコードモードの中断（code_mode_interrupt、安定版）です。これにより、追加の指示を送ると実行中のCode Modeセルも停止します。APIキーを使うセッションでは、Cyberアクセスプログラムがデフォルトで有効になります（api_key_cyber_access_programs）。shell_zsh_forkとunified_exec_zsh_forkは削除され、移行の案内を表示したうえで無視されます。
• v0.162.0以降、デフォルトで有効： instant_interruptにより、新しい入力がモデルの応答に割り込みます（[features]でinstant_interrupt = falseを設定すると無効になります）。フラグは引き続き開発中扱いです。
• v0.161.0以降、デフォルトで有効： APIキーによるモデルの検出です（[features]でapi_key_model_discovery = falseを設定すると無効になります）。
• v0.158.0以降、デフォルトで有効： 権限を昇格したターミナルへの入力に対する承認（[features]でwrite_stdin_approval = falseを設定すると無効になります）と、全画面TUIでの選択時のコピーおよび右クリックでの貼り付けです（[tui]でcopy_on_select = "never"、right_click_paste = "off"を設定すると無効になります）。Guardianのスレッドコンテキストは常時有効で、thread_contextは無視されます。
• v0.157.0以降、デフォルトで有効： 全画面トランスクリプト（[tui]でfullscreen_transcript = falseを設定すると無効になります）と、バックグラウンドサーバーの自動起動です（[features]でdaemon_auto_start = falseを設定するか、--no-daemonを指定すると無効になります）。
• v0.156.0以降、デフォルトで有効： /voice、管理対象のworktrees、Guardianによる親スレッドのコンパクション結果の再利用です。
• オプトインまたは実験的な機能： Codex Cloud、コードモードとそのランキング付きツール検索（code_mode_tool_search、v0.162.0）、Guardianの履歴取得（guardian_conversation_history_tools、v0.160.0）、およびv0.164.0で無効の状態で提供される開発中のフラグです（v0.163.0から継続：async_compaction、credential_masking、output_token_replay、retain_client_tool_outputs、subagent_default_context_limits、code_mode_host_grpc、code_mode_tool_description_first、guardian_trust_orchestrator_connectors。v0.164.0で新規追加：app_server_websocket_compression、executor_capability_discovery_v2、mcp_tool_list_changed、multi_env_copy_file、runtime_agent_instances、subagent_thread_environments、wake_on_agent_messages）。実験的なコンテキスト管理は現在利用できません。
• モデル： 複雑なコーディングにはGPT-6.1 Sol、特に難しい作業にはGPT-6-Astra、繰り返し行うタスクにはGPT-6 Lunaを使います。GPT-6 SolとLunaはFast（クレジット消費量2.5倍）で開始しますが、GPT-6.1 Solは異なります。GPT-5.5は2026年10月14日にCodexでの提供を終了します。
• バージョンの固定： npm install -g @openai/codex@0.164.0を実行してから、codex --versionで確認してください。^{176178186187188189192193194195}

v0.164.0（2026年10月23日）

0.164系のアルファ版を基に、安定版がリリースされました。 v0.164.0は10月23日に公開されました（04:48 UTC、npm latestへの反映は04:52 UTC）。0.164.0-alpha.11にリリース用コミットを1件加えて作成されています。alpha.12（10月22日）はその分岐点から9件のコミットが進んでおり、通常のリリース系列外の0.164.0-alpha.11.1（10月23日01:58 UTC）はalpha.11を基に4件のコミットを追加しています。v0.163.0との差分は330件のコミットです。bedrock_setup_wizard（Amazon Bedrockセットアップウィザード。認証情報を検出すると、APIキーの入力がほかのAWSサインイン方法とまとめて表示されます）、incremental_tools、mcp_oauth_refresh_coordinationの3つのフラグが有効になり、安定版扱いになりました。worktreesとrealtime_conversationのフラグは削除済み扱いとなり、機能は有効のまま維持されるため、管理対象のworktreesとリアルタイム会話は切り替えられなくなりました。stable_environment_toolsとtranscript_v2も削除されています。開発中のフラグが7つ追加され、いずれも無効になっています。同梱のモデルカタログは、v0.162.1で提供されたものと同一のblobです。¹⁹⁴¹⁹⁵

TUIの新機能です。 /presetsでは、再利用できるプロンプトとslash commandsを10個の番号付きスロットに保存でき、キーボード操作用のメニューも使えます。プリセットは入力欄のテキスト、または現在のモデル、推論の強度、速度から作成でき、使用中のユーザー設定のtui.presetsに永続保存されます（#54380、#54381）。/model [model] --reasoning <level> --speed <tier>では、保存済みのデフォルト値を変更せずに、現在のセッションにモデル、推論、速度の設定を適用できます。フラグの値はスペース区切りでも=でも指定できます。モデルを省略すると現在のモデルに設定を適用し、/modelだけを入力すると、これまでどおり選択画面が開きます（#54378）。/permissions <profile-id>では、/permissions :read-onlyのように、組み込みまたはカスタムの権限プロファイルをインラインで選択できます。:ask-for-approvalと:approve-for-meもエイリアスとして使えます（#54383）。KittyまたはSixelのグラフィックスに対応したターミナルでは、全画面トランスクリプトに、表示した画像や生成した画像のプレビューがサイズを制限したサムネイルとして表示されます。リモートワークスペース、非対応のターミナル、サイズが大きすぎる画像では、引き続きテキストのみで表示されます（#54216）。¹⁹⁴

接続と認証情報です。 直接設定したMCPサーバーでは、キーリングに保存されたアカウント単位の企業向け認可、または専用のサインインで認証できるようになりました。シークレットを必要とするOAuthクライアントにも対応しています。企業管理の認可拡張は2026-07-28プロトコルでネゴシエーションされ、アカウント所有者が変わるか、企業ログインが既存の認可に置き換わると、その認可は取り消されます（#55334、#55859、#56001）。認証情報のマスキングが、対応するリモートBashコマンドとzshスナップショットセッションでも使えるようになり、カスタムプロバイダーの認証情報も対象となりました。コマンドにはプレースホルダーが渡され、実行側のローカルプロキシが、条件に一致する接続先への通信に実際の認証情報を挿入します。マスキングを利用できない場合は、警告を表示してマスキングなしの実行に切り替わります。このタグでは、credential_maskingフラグは引き続き無効の状態で提供されます（#54309、#54432、#56049）。¹⁹⁴¹⁹⁵

修正と内部の整理です。 コンパクションに失敗しても、会話履歴に不完全な要約が残らなくなりました。また、バックグラウンドでのコンパクションに失敗した場合も、パニックを起こさずにフォールバックします（#53932、#55581）。セッションの再開時には、圧縮された履歴を検出し、保存済みのスレッド設定をグローバルのデフォルト値で上書きせずに復元します（#54008、#55923）。Windowsでは、HTTPS接続とWebSocket接続が、サインイン中のユーザーのNegotiateまたはNTLM認証情報を使ってプロキシの認証チャレンジに応答します（#55994、#56000）。複数のサブコマンド階層で-cまたは--configを指定しても、すべての上書き設定が保持されます（#56022）。キューに入ったプロンプトは、保留中の権限選択が確定するまで待機します（#55682）。また、サンドボックスでは、macOS上で大文字と小文字の表記が異なるメタデータのパスと、実行ファイルの検索に使われる置き換え可能なシンボリックリンクを検査します（#54273、#55384）。ディスク使用量も削減されました。未使用のインストールは削除され（現在と前回のデーモン選択に対応するものは保持されます）、放置されたマーケットプレイスのチェックアウトはクリーンアップされ、デーモンログのサイズには上限が設けられました（#53827、#55149、#55689、#55690、#55856）。組み込みのJavaScriptランタイムには、最適化されたArray.sortの安全性チェックが追加されています（#54519）。¹⁹⁴ 対応：アップグレードしてください。Bedrockの初期設定を行う場合を除き、普段の利用で気づくような既定値の変更はありません。Bedrockではウィザードが自動で起動するようになりました（[features]でbedrock_setup_wizard = falseを設定すると無効にできます）。[features]にworktreesまたはrealtime_conversationを設定していた場合、これらのキーは無視されるようになります。¹⁹⁴¹⁹⁵

v0.163.0（2026年10月15日）

0.163系の安定版が、通常の開発系列とは別のブランチからリリースされました。 v0.163.0は10月15日に公開されました（21:30 UTC、npmのlatestは21:37 UTC）。alpha.10をベースに別系列で作成された0.163.0-alpha.10.2に、リリース用の1コミットを追加したものです。通常系列のalpha.11（10月14日）には安定版に含まれない23コミットがあり、0.158と同じパターンとなっています。v0.162.1との差分は232コミットです。2つの機能フラグが有効になり、どちらも安定版扱いになりました。cli_daybreak（Daybreakの操作機能、/daybreakによる切り替え、対象のOpenAIアカウントをCyberアクセスプログラムへ自動的に振り分ける機能。サーバーがアクセスを提供していれば、codex execでもOpenAIのAPIキーで選択できます）と、code_mode_interrupt（ターンを中断すると、実行中のCode Modeセルと、その内部のツール呼び出しも停止します）です。すでに安定版扱いだったapi_key_cyber_access_programsも有効になります。instant_interruptは引き続き有効ですが、開発中の扱いのままです。¹⁹²¹⁹³

TUIの新機能。 /configで検索可能な設定パネルが開き、外観、通知、入力、セッション、テキスト選択のタブから設定できます。対応する変更は即座に反映され、再起動が必要な設定はパネルに表示されます。編集内容は、選択したローカル設定ファイルに保存されます（#52990、#53429）。/keymapではリーダーキーを設定できます。tui.keymap.global.leaderの既定値はctrl-xで、leader cなどの割り当てはこのキーに続けて入力します。ショートカットのヒントは選択またはキャンセルするまで表示され、音声のミュート用ショートカットはCtrl+XからF9に変わりました（#52273）。/daemonでは管理対象のバックグラウンドサーバーを再起動できます。再起動で中断される可能性がある作業について警告し、再起動後に再接続します（#53173）。Codexは、互いに独立した読み取り専用ツールを並列実行するようになりました。対象はskills、メモリ、会話履歴の検索、プラグインとエージェントの一覧取得、現在時刻、残りのコンテキスト、get_goalです（#52245）。Codexの応答中に追加メッセージを送ると、その内容が即座に以降の処理へ反映されます（#51812、#51835）。¹⁹²

修正とプラットフォーム関連。 保存済みのスレッドを再開すると、明示的な上書き設定と管理ポリシーに従い、そのスレッドの権限とネットワーク承認が復元されます（#53150、#53419、#53424）。ネットワークプロキシはDNS検索の前に権限を確認し、重複するHostヘッダーを拒否するほか、認証情報のエイリアスによる検査用hooksの迂回を防ぎます（#51650、#52661、#53506）。スレッドを切り替えた後も、/sideで既存のサイド会話に戻れます。また、回答待ちのプロンプトへの回答は、そのプロンプトを出したスレッドに返されます（#52184、#53436）。WindowsではCtrl+VとShift+Insertで画像に加えてテキストも貼り付けられます。WSLでは繰り返しの貼り付けでクリップボード読み取り処理を再利用し、コピー処理が応答しない場合はタイムアウトするようになりました（#53224、#52967、#53453）。子プロセスが出力パイプを開いたままでもローカルコマンドは速やかに終了し、リモートコマンドは遅れて届いた出力を最後のポーリングまで保持します。また、無関係なコマンドの後にcodex execがファイルの差分を再表示する問題も修正されました（#52652、#53331、#53622、#53444）。¹⁹²

パッチ適用版のzshが削除されました。 Codexは標準のシェル実行機構を使うようになり、パッチ適用版のzshは同梱されなくなりました。これに伴い、codex-execve-wrapperとshell-escalationクレートも削除されています。shell_zsh_forkとunified_exec_zsh_forkは移行案内を表示したうえで無視され、管理要件にこれらが残っている場合は警告が表示されます（#52160、#52213）。配布バイナリからシンボルを除去したことで、LinuxとmacOSのパッケージは小さくなりました（#52178）。Linuxサンドボックスのクレート内の名称とREADMEは、実際の動作を反映する内容になりました。ファイルシステムと名前空間の分離にはbubblewrap、システムコールのフィルタリングにはseccompを使い、Landlockの実装はレガシーとして残されています。制約の適用動作に変更はありません（#52610）。同梱のOpenAI Docsガイダンスでは、GPT-6ファミリーへの移行を扱っています（#51768）。¹⁹²¹⁹³

対応：アップグレードしてください。config.tomlまたはrequirements.tomlにshell_zsh_forkやunified_exec_zsh_forkがあれば削除しましょう。Daybreakを手動で有効にしていた場合、そのフラグは不要になりました。また、/voiceのミュートにCtrl+Xを使っていた場合は、今後はF9を使ってください。¹⁹²

v0.162.1（2026年10月9日）

v0.162.0に3コミットを追加し、2つの問題を修正しました。 複数行の非同期質問でTUIがクラッシュする問題が修正され、改行とハイパーリンクの完全なリンク先が保持されるようになりました。また、実行中のバックグラウンドサーバーの機能設定とCLIの既定値の違いにより、一部のv0.162.0ユーザーで発生していた起動失敗も解消されています。互換性チェックは、コマンドラインで明示的に上書きした機能設定にのみ適用されるようになりました。既定値、設定キー、モデルの変更はありません。

対応：アップグレードしてください。特に、旧バージョンのバックグラウンドサーバーが動いている状態でv0.162.0を起動できなかった場合に有効です。¹⁸⁸

v0.162.0（2026年10月8日）

instant_interruptが既定で有効になります。 v0.159.0では任意で有効にする機能だったこのフラグが、今回のリリースから全ユーザーで有効になります（PR #51812、10月7日マージ）。新しい入力でモデルの応答に割り込んだり、長時間実行中のCode Mode呼び出しから制御を戻したりできる機能です。引き続き開発中の扱いとなっています。[features]でinstant_interrupt = falseを設定すると、入力した内容が応答の完了まで待機する従来の動作に戻せます。

TUIの新機能：worktrees機能が有効な場合、信頼済みのローカルプロジェクトから管理対象のGit worktreesを作成・一覧表示するツールを使えるようになり、モデル自身がworktreeを開けます（#50148）。エージェントのCommand Centerではpでタスクをピン留めでき、サーバーが対応していれば、ピン留めしたタスクは共通のPinnedグループに保持されます（#51500）。/copyで会話記録のブロック間を移動でき、Ctrl+Insertで選択範囲をコピーできます。tui.mouse_scroll_speed（有限の正の数、既定値は1.0）ではマウスホイールのスクロール速度を調整できます（#50434、#50215、#50209）。承認ヘッダー、質問、MCPのプロンプト、警告、バナー内のURLは、折り返されたリンクも含めてクリックできるようになりました。新しいTUIスレッドでは、起動時に明示した上書き設定を維持しつつ、サーバーのモデルと推論要約の既定値を反映します。codex doctorは設定済みのTUIモードを報告し、/statusはアカウント更新後もアカウントのメールアドレスを再び表示するようになりました。

プロバイダーとモデル：カスタムのResponses互換プロバイダーは、[model_providers.<name>.capabilities]でexternal_web_accessとremote_compactionを宣言できます（#50459）。ultrafast_mode機能は有効な状態でリリースされます。Ultra Fast階層を提示するモデルカタログ（Amazon BedrockのAstraモデル、#50472）では、Fastモードとは独立してUltra Fastを提供できます。ただし、このタグに同梱されたカタログには該当する階層はありません。Code Modeには、Promiseの結果をストリーミングするJavaScriptヘルパーと、任意で有効にできる順位付けされたツール検索（code_mode_tool_search）が加わりました。apply_patchは既存のCRLF改行を常に保持するようになり、apply_patch_preserve_line_endingsフラグは削除されました。ResponsesとWebSocketで再試行可能なエラーが発生した場合は、サーバーのRetry-Afterの指定に従います。

サンドボックスとプラットフォーム：アクセスを拒否するファイルが複数ある場合のLinuxサンドボックスの起動が修正されました。書き込み可能なサンドボックス構築用実行ファイルは拒否され、ripgrepの設定で拒否用のglobマスクを弱めることもできなくなりました。Windows 10では通常のドライブ文字を使うファイルアクセスが再び可能になり、サンドボックスの一時ディレクトリの権限は子プロセスに合わせられます。PowerShell 7のモジュールパスでもアーカイブのチェックサム検証が動作するようになり、Windows版には署名済みのPowerShellインストーラーが同梱されます。

対応：アップグレードしてください。モデルに割り込まずに次の入力を先に打ち込む使い方をしていた場合は、instant_interrupt = falseを設定しましょう。¹⁸⁷¹⁸⁹

v0.161.0（2026年10月7日）

0.161.0-alpha.13.1にリリース用の1コミットを加えたもので、v0.160.1から155コミット進んでいます。リリースノートではGPT-6.1 Solが新しい既定モデルとして挙げられています（#49318、#49339）が、これはv0.159.1ですでに導入されたカタログの変更です。このタグに同梱されたmodels.jsonはv0.160.1のものとバイト単位で一致するため、0.159.1以降を使っている場合は何も変わりません。

新機能：/mcp login <name>で、実行中のターミナルセッションからMCPサーバーにサインインできます（#49290）。音声デバイスの選択： /voiceでの会話に使うマイク、スピーカー、マイクの入力チャンネルを選択でき、設定はローカルに保存されます（#49437、#49836）。APIキーによるモデル検出が既定で有効になりました（api_key_model_discovery、安定版扱いに昇格、#49807）。対応するエンドポイントにOpenAIのAPIキーでサインインしている場合、Codexは同梱の一覧だけに頼らず、APIからモデルカタログを更新します。[features]でapi_key_model_discovery = falseを設定すると無効になり、変更は新しいセッションから適用されます。Amazon Bedrockは対応モデルでマルチエージェントV2とUltra推論をサポートし、Bedrock MantleではAWS GovCloudリージョンを指定できるようになりました（#49345、#49813）。 Daybreak（オプトイン）。 開発中でデフォルトでは無効の新しい cli_daybreak フラグにより、CLI に Daybreak の操作機能が追加されます。対象は、OpenAI プロバイダーで ChatGPT にサインインし、アカウントとモデルカタログの両方で対応が示されている場合です。/daybreak による切り替え、状態表示、Cyber アクセスプログラムへの自動ルーティングを利用できます。有効にするには --enable cli_daybreak を指定するか、[features] に cli_daybreak = true を設定してください。保存済みの daybreak = true 設定だけでは何も起きません。これとは別に、codex exec --cyber-access-program <standard|daybreak_blue|daybreak_red>（および TypeScript SDK の cyberAccessProgram）では、フラグの有無にかかわらず、1 ターンに限って Cyber アクセスプログラムをリクエストできます。保存済みの選択は変更されません（#49856 から #49861、#49939、#51207）。同梱カタログには、非表示の gpt-daybreak-blue-latest と gpt-daybreak-red-latest がすでに含まれています。v0.163.0 以降はデフォルトで有効となり、安定版とされています。¹⁹³

修正点：承認済みのファイルシステム権限昇格では、読み取りの拒否とネットワーク制限を維持したまま、書き込み権限を広げられるようになりました。バックグラウンドタスクは、開始元のターンの権限を維持します。明示的に指定した起動権限は、ターミナルへの再接続後も保持されます。管理者権限の Windows ターミナルセッションを、組み込みサーバーで開始できるようになりました。貼り付け検出の待機時間が過ぎると、Enter でバッファー内の入力を送信できます。Vim の挿入モードでも同様です。スレッドの再開時には、最後に確定した履歴まで含まれます。また、起動時に修復可能な SQLite の破損をより早く検出し、破損したデータベースをバックアップとして保存します。Responses の再試行と WebSocket から HTTP へのフォールバックでは、サーバーが示す再試行の指示に従うようになりました。認証ドキュメントでは、認証情報が常に auth.json に保存されるとは限らず、キーリングに保存される場合もあると明記されています。

対応：アップグレードしてください。API キーでサインインする場合を除き、通常の利用で気づくようなデフォルト設定の変更はありません。キーでサインインする場合は、/model で検出されたカタログを確認してください。¹⁸⁶¹⁸⁹

v0.160.1（2026年10月5日）

Windows 上のリモート MCP サーバーの修正。 macOS または Linux ホスト上の Codex が、リモートの Windows 実行環境で stdio MCP サーバーを起動する際、そのサーバーの設定でリモート環境変数を明示的に指定している場合は、SYSTEMROOT、TEMP、TMP も渡すようになりました。これにより、Windows プロセスに必要な起動環境が維持されます。指定していない変数は、シークレットを含めて引き続き渡されません。このリリースは v0.160.0 に 1 件のバックポートを加えたもので、デフォルト設定、設定キー、モデルに変更はありません。

対応：Unix ホストから Windows 実行環境上のリモート stdio MCP サーバーを利用している場合は、アップグレードしてください。¹⁸³

v0.160.0（2026年10月1日）

0.160 系の安定版リリースで、0.160.0-alpha.6.1 に 1 件のバックポートを加えたものです。デフォルト設定に変更はありません。 このタグの同梱モデルカタログは v0.159.1 および v0.159.2 とバイト単位で同一のため、GPT-6.1 Sol が引き続きデフォルトです。2 つの新しい機能フラグは無効の状態で提供されます。バックポート（#49763）により、v0.159.1 より前に分岐して変更が凍結されていた 0.160 のリリース候補に、0.159 系の保守更新が反映されました。具体的には、GPT-6.1 Sol を含む同梱カタログと Amazon Bedrock カタログ、および v0.159.3 のアカウントセキュリティのリマインダーです。このバックポートがなければ、0.160 は GPT-6.1 Sol を含まずにリリースされるところでした。

Guardian に追加されたオプトイン機能（いずれも開発中で、デフォルトでは無効）：

• Guardian が過去のユーザーメッセージを読めるようになりました。 [features] に guardian_conversation_history_tools = true を設定してください。Apps が有効な場合、レビュー担当は親セッション自身の Apps 接続を通じて user_message.search_messages と user_message.read_messages を利用できます。これにより、副作用のある操作を承認する前に、過去の指示、制約、撤回された権限を確認できます。呼び出しのたびに、親セッションの現在のアプリとツールのポリシーを再確認します。応答はデフォルトで推定 4,000 トークンに制限されます（auto_review.conversation_history_max_output_tokens）。また、auto_review.experimental_conversation_history_prompt を設定すると、組み込みの取得指示を置き換えられます。
• 引き継ぎを考慮したルートコンテキスト（guardian_root_handoff_context）：Guardian がワーカーエージェントの操作をレビューする際、そのワーカーまたは祖先エージェントへの各引き継ぎ直前のルートメッセージ 3 件と、最新のルートメッセージ 3 件を選びます。これにより、直近のキャンセル指示を確認できる状態に保ちます。

常時有効な変更：暗号化されたエージェントメッセージが、破棄されずに Guardian の記録へ順番どおりに表示されるようになりました。

TUI の変更：プロジェクト設定も信頼に関する判断の保存もないフォルダーでは、ローカル実行、ユーザー設定、管理ポリシーのすべてが許可している場合に限り、workspace-write 権限と詳細な承認設定で新しいセッションを開始できます。再開したセッションでは、上書き指定がない限り、保存済みの権限が復元されます。/cd ではフォルダーを信頼するか確認でき、「現在のディレクトリを維持」する選択肢も表示されます。エージェントのコマンドセンターには「さらに表示」行が追加され、古いタスクを 10 件ずつ読み込めるようになりました。ローカルの Linux X11 ターミナル（Wayland、SSH、tmux、WSL、VS Code は対象外）では、全画面の会話記録で選択したテキストがプライマリ選択に入り、中クリックで入力欄に貼り付けられます。全画面のステータス行には、表示スペースがある場合に Plan mode (shift+tab to cycle) が表示されます。Pro の各プランは、/status と分析データで「Pro 100」「Pro 200」「Pro 500」と表記されるようになりました。起動時のヒントでは、プランや Fast モードの案内に代わり、利用中のプラットフォーム向けデスクトップアプリを案内します。また、キューに入ったまま未送信だったメッセージは、再接続後に重複なく送信が再開されます。

プロバイダーと接続：TUI はアプリサーバーのプロバイダー、推論要約、詳細度の設定を維持し、再開とフォークの履歴に適切なセッションを表示します。サーバー接続時は、/status で推論要約の設定を非表示にします。モデルカタログ（model_catalog_url）を明示的に指定したプロバイダーでは、そのカタログだけを使用するようになりました。同梱モデルは統合されず、メタデータはモデル ID の完全一致で照合されます。更新に失敗した場合はキャッシュ済みの項目を再利用せずに破棄し、利用可能なモデルがない状態で起動すると、model が設定されていない限り設定エラーを報告します。コンテンツフィルターによって応答が停止した場合、再試行時には、制限を説明し、許可される代替案を提示して、ほかの作業を続けるようモデルに指示します。

修正点：Windows サンドボックスでの PowerShell へのフォールバック、長いランタイムパスの ACL 修復、バックグラウンドヘルパーによるコンソールウィンドウ表示の抑制に対応しました。サブエージェントは、起動処理中の環境も維持します。SQLite は接続設定時に停止しなくなり、タイムアウトの代わりに初期化エラーを報告するようになりました。ログデータベースはバックグラウンドで未使用領域を回収します。また、プラグインの読み込みでは解析済みマニフェストをキャッシュし、HTTP 接続を再利用します。プロバイダーのドキュメントでは、requires_openai_auth の認証情報が cli_auth_credentials_store で選択したバックエンドを使用することと、env_key が API キーを格納する環境変数の名前を指定することが明記されました。

対応：アップグレードしてください。カスタムプロバイダーで model_catalog_url を設定している場合は、選択するすべてのモデルがそのカタログに含まれていることを確認してください。¹⁸²

v0.159.3（2026年9月30日）

任意のアカウントセキュリティリマインダー。 OpenAI プロバイダーで ChatGPT にサインインしているローカル TUI セッションでは、アカウントのセキュリティ設定を完了するよう促す、閉じることができるバナーが表示される場合があります。バナーには chatgpt.com を開くボタンが付いています。表示対象はサーバーが決定します。CLI はターンをブロックせずにバックグラウンドで通知を取得し、状態が不明な場合は何も表示しません。リモートワークスペースと FedRAMP アカウントは対象外です。閉じたことはスレッド間や再接続後も記憶されます。使用量のバナーが優先されます。このリリースの変更はこれだけで、v0.160.0 にも同じコードが含まれています。

対応：何もする必要はありません。このリマインダーへの対応は任意です。¹⁸⁴

v0.159.2（2026年9月29日）

Windows でコンソールウィンドウが一瞬表示される問題の修正。 Windows では、Codex がバックグラウンドプロセスを起動するたびにコンソールウィンドウを開くことがなくなりました。対象には、シェルツールのコマンド、hooks、Git と npm の呼び出し、ターミナルを使わずに実行する Amazon Bedrock の認証情報更新、doctor チェック、サンドボックス設定の更新、従来の Windows サンドボックス内のコマンドが含まれます。ターミナルを必要とするコマンドは、引き続きそのコンソールを引き継ぎます。このリリースは main の 2 件の修正を 1 件のバックポートにまとめたもので、v0.159.1 の約 3 時間半後に公開されました。デフォルト設定、設定キー、モデルに変更はなく、新しい起動ヘルパーも macOS と Linux では従来どおりに動作します。

対応：Windows で Codex の動作中にコンソールウィンドウが一瞬表示される場合、特にバックグラウンドサーバーをインストールしている場合は、アップグレードしてください。¹⁸⁰

v0.159.1（2026年9月29日）

GPT-6.1 Sol がデフォルトモデルになりました。 config.toml でモデルを指定していない場合、CLI は GPT-6-Astra に代わり GPT-6.1 Sol（gpt-6.1-sol）で起動するようになりました。Amazon Bedrock の Mantle と Runtime のカタログでも、デフォルトが GPT-6 Sol から GPT-6.1 Sol に変わります。/model の選択画面では、「コーディングと日常業務に対応する最新の主力モデル」として先頭に表示され、その後に GPT-6-Astra、GPT-6 Sol（現在の説明は「前世代の主力モデル」）、GPT-6 Luna、さらに古いモデルが続きます。保存済みの選択は移行されません。設定で gpt-6-sol または gpt-6-astra を指定している場合は、そのモデルが維持されます。また、古い GPT-5 モデルの選択に対する移行案内は、引き続き GPT-6 Sol または GPT-6 Luna を案内します。 OpenAIのドキュメントにも同日、このモデルが追加されました。現在は、複雑なコーディングやエージェントを活用するワークフロー向けに推奨されており、「複雑な作業でAstraに近い性能を、Astraより低コストで提供する」と説明されています。料金は入力100万トークンあたり50クレジット（キャッシュ済み入力は2.5、出力は250）で、Plusのメッセージ数の範囲は15〜160件です。カタログ上では、GPT-6 Solと2つの点で異なります。デフォルトのサービス階層がないため、セッションはFastではなくStandardの速度で開始されます。また、デフォルトの推論の強度はmediumではなくlowです。提供開始時の対象はPlus、Pro、Business、Enterprise、Eduです。EnterpriseとEduでは管理者が有効にするまで無効のままで、FreeとGoは提供開始時の対象に含まれません。

対応：アップグレード後、/statusでモデルを確認してください。アカウントでGPT-6.1 Solをまだ利用できない場合は、config.tomlのmodelまたは-mで、利用可能なモデルを指定してください。¹⁷⁸

v0.159.0（2026年9月29日）

v0.158.0の約27時間後に、0.159.0-alpha.13をベースにリリースされました。リリースノートの項目のうち、Windowsのコンソールウィンドウとランチャーの修正、Markdownを維持したコピー、ウェルカム画面とターンのヒント、サインインの修正は、バックポートによってv0.158.0ですでに提供されています。削除されたと記載されているtui.prompt_suggestions設定は、安定版には一度も含まれていません。

このリリースの新機能：

• instant_interrupt（明示的な有効化が必要、開発中）：新しい入力でモデルの応答に割り込んだり、長時間実行中のcode-mode呼び出しから制御を戻したりできます。試すには、[features]でinstant_interrupt = trueを設定してください。v0.162.0以降はデフォルトで有効です。
• 警告ビューアを閉じると、確認済みの警告が消去されます。後で確認するために残すには、kを押してください。
• 計画を実装するかどうかを判断している間も、会話履歴をスクロールできます。
• Mermaidの描画で、より多くのフローチャートのエッジ、ラベル、ノードグループに対応しました。
• 空のセッションでも、タスクを切り替えた際に下書きが保持されます。また、最初のターンを開始する前でもスレッドをアーカイブできます。
• /statusは枠線なしで表示され、長い値は折り返されます。
• App-serverクライアントは、特定の項目を起点としてスレッド履歴をページ単位で取得できます。

サンドボックスの変更：承認済みのコマンドでも明示的なファイルシステムの拒否ルールが維持されます。書き込み可能なルート配下の.awsディレクトリはデフォルトで保護されますが、明示的なルールによる上書きは引き続き可能です。ネットワークが有効なmacOSサンドボックスではTLSの信頼性評価が許可され、プロキシが必要な実行環境にはプロキシが提供されるようになりました。同梱のplugin-creatorスキルは削除されました。

対応：サンドボックス内のタスクが.aws配下に書き込む場合、明示的なルールを追加しない限りブロックされます。¹⁷⁷

v0.158.0（2026年9月28日）

0.158系の安定版で、0.158.0-alpha.15.4をベースにしています。alpha.15に16件のバックポートを加えたもので、v0.157.1のWindows向け修正4件も含まれます。v0.157.0から207コミット分進んでいます。

変更されるデフォルト設定：

• ターミナル入力の承認が有効になりました。 Codexが、権限を拡張して実行中のコマンド（追加の権限付与、サンドボックスの回避、または開始後にポリシーが変更されたコマンド）に入力を送信する際は、事前の承認が必要です。プラグインがメトリクスに使用するような、実行時のみの権限付与では、レビューが発生しなくなりました。無効にするには、[features]でwrite_stdin_approval = falseを設定してください。
• 全画面の会話履歴での選択時の自動コピー：マウスで選択し、ボタンを離すとコピーされます。デフォルトのautoでは、独自のコピーショートカットを転送するターミナルで直接実行している場合、この動作を省略します（Ghostty 1.2以降、macOSのKitty、Windows Terminal、WindowsのVS Code）。コピー時にはMarkdownの書式が保持されます。[tui]でcopy_on_select = "never"（または"always"）を設定できます。
• Windows、WSL、Linuxの全画面TUIでの右クリックによる貼り付け。[tui]でright_click_paste = "off"を設定すると無効になり、"on"にするとmacOSでも有効になります。
• Guardianのスレッドコンテキストが常時有効になりました。 v0.157.0の無効化設定は廃止されました。[features.guardianv2]のthread_contextは、プロファイル内も含めて無視され、Codexは削除を求める通知を表示します。

モデルとプラン：GPT-5.4が同梱カタログとBedrockカタログから削除されました。保存済みのモデル選択がGPT-5.4の場合は、引き続きGPT-6 Solへの移行を促すメッセージが表示されます。CodexはPro Maxプランを認識し、Proの各階層を「Pro」「Pro (More)」「Pro (Max)」と表示します。推論の強度を変更するショートカットでは、Maxまで選択できます。

その他の新機能：事前登録済みのOAuthクライアントシークレットを必要とするMCPサーバー（codex mcp add --oauth-client-secret）、exec-serverのWebSocket接続用Bearerトークン、生成画像の透明な背景、/psでの複数行のコマンドプレビューに対応しました。修正対象には、Windowsサンドボックスの不具合（通常のWindows 10のパス、保存済み認証情報の拒否、大規模な権限ポリシー）、書き込み可能なルートが入れ子になっている場合のLinuxサンドボックスの起動、書き込み可能なルートをまたぐGitメタデータの保護、パッチ承認時のmacOSのパスエイリアスが含まれます。また、Guardianのレビュー中にメッセージを送信しても、中止せずに再試行するようになりました。

対応：自動化処理で権限を拡張したコマンドにキー入力を送信する場合は、承認要求に対応するか、この機能を無効にしてください。また、設定からthread_contextを削除してください。¹⁷⁶

v0.157.1（2026年9月26日）

mainから4件の修正をバックポートしたWindows向けパッチです。code-modeホストやローカルのstdio MCPサーバーを起動する際に、Codexがコンソールウィンドウを開かなくなりました。Windowsによってプロセスが外側のジョブオブジェクト内に残された場合でも、バックグラウンドサーバーを起動できます。また、切り離されたバックグラウンドサーバーがランチャーの出力パイプを開いたまま保持しなくなりました。以前はこれにより、ランチャー終了後も呼び出し元のコマンドが待機し続ける場合がありました。GitHubのリリースノートと変更履歴には、主な変更点を「特定できなかった」とだけ記載されています。上記の一覧は、このリリースのコミットに基づいています。

対応：WindowsでCodexを実行している場合は、アップグレードしてください。4件の修正はいずれもWindowsのみが対象です。¹⁷⁴

v0.157.0（2026年9月25日）

さらに3つのデフォルト設定が切り替わるリリースです。

• 全画面の会話履歴がデフォルトで有効になりました。 v0.156.0で/tuiから利用できた全画面UIが、セッション開始時の標準表示になりました。設定に[tui]セクションがない場合も同様です。ターミナルのスクロールバックを維持するには、/tuiでScrollbackを選ぶか、[tui]でfullscreen_transcript = falseを設定してください。--no-alt-screenとtui.alternate_screen = "never"は引き続き優先されます。また、Shiftキーを押しながらクリックすると、会話履歴の選択範囲を拡張できます。
• 対象となる対話形式の起動では、バックグラウンドサーバーが自動的に起動します。このオプションは/experimentalから外れました。--no-daemon、--oss、--profile、または大半の-cによる上書きを指定した起動では使用されません。実行中のサーバーの設定がセッションと一致しない場合、Codexはサーバーなしで実行する、必要な設定で再起動する、キャンセルする（デフォルト）という選択肢を提示します。自動起動を無効にするには、[features]でdaemon_auto_start = falseを設定してください。
• 同期レビューと非同期レビューで、Guardianのスレッドコンテキストがデフォルトで有効になりました。Guardian v2のenabled設定とは独立して動作します。無効にするには、[features.guardianv2]でthread_context = falseを設定してください。

モデル：v0.156.1で初めて提供されたGPT-6 SolとLunaは、このリリースにも含まれています。Amazon Bedrockのカタログにも追加され、BedrockのデフォルトはGPT-5.6 SolからGPT-6 Solに置き換わりました。GPT-5.6 Solのultrafastサービス階層は廃止され、Fastが残ります。同梱カタログでは、GPT-6-Astraが実験的なコンテキスト管理に対応しているという指定が削除されました（コンテキスト管理を参照）。

その他の新機能：fショートカットで、別のアプリで開いている会話を、下書きと待機中のプロンプトを保持したまま分岐できます。/importはリモートセッションとバックグラウンドサーバーのセッションでも動作します。また、ターミナルでUnicodeの箇条書き記号、チェックボックス、位置を揃えた数式が表示されるようになりました。修正により、スレッドを切り替えても音声会話が継続し、ターン終了時には未送信の回答が復元され、tmuxのマウス設定が尊重されます。リアルタイム接続と単独のウェブ検索は設定済みのプロキシを経由し、一時的なファイルアップロードの失敗は5分のタイムアウトで再試行されます。さらに、リダイレクト先や確立済みのHTTPおよびWebSocket接続にもネットワーク制限が適用されます。Windowsでは、サンドボックスのオブジェクトへのアクセスが、実行プログラムのログオンセッションに限定されます。¹⁷⁴

v0.156.1（2026年9月23日）

GPT-6 SolとGPT-6 Lunaを安定版のCLIに追加する、変更点が1つだけのパッチです。両モデルは/modelの選択画面でGPT-6-Astraの下に表示されます。GPT-6-Astraは引き続き先頭に表示され、config.tomlでモデルを指定していない場合の同梱デフォルトモデルです。選択画面では、GPT-5.6ファミリーが旧世代モデルと表示されるようになりました（GPT-5.6 Solの説明は「複雑な作業向けの旧世代コーディングモデル」）。GPT-5.5には「レガシーコーディングモデル」と表示されます。レート制限に近づいた際の切り替え案内では、gpt-5.6-lunaではなくgpt-6-lunaが提案されるようになりました。

設定で旧モデルを指定している場合は、1度だけ移行を促すメッセージが表示されます。保存済みの選択がgpt-5.6-sol、gpt-5.6-terra、gpt-5.5、gpt-5.4の場合はGPT-6 Solへの移行が、gpt-5.6-luna、gpt-5.4-miniの場合はGPT-6 Lunaへの移行が案内されます。このリリースではAmazon Bedrockのカタログに変更はありません。GPT-6 SolとLunaは含まれておらず、BedrockのデフォルトはGPT-5.6 Solのままです。

ドキュメントには記載されていない料金上の注意点が1つあります。同梱カタログでは、GPT-6 SolとLunaのデフォルトのサービス階層がFast（priority）に設定されています。そのため、service_tierを指定していないTUIセッションはFastモードで開始される場合があり、ChatGPTでサインインしている場合はStandardの2.5倍のクレジットが消費されます。/fast statusで確認してください。/fast offでStandardに切り替えられます。 推奨する対応：アップグレードしてから、慣れたタスクで codex -m gpt-6-sol を試してください。利用できるかどうかは、プラン、ワークスペースの設定、ロールアウト状況によって異なります。Enterprise では、管理者が先に新しいモデルを有効にする必要があります。¹⁷¹

v0.156.0（2026年9月22日）

3つの既定設定が一度に切り替わったリリースです。最初の2つは、同日のドキュメントの変更履歴でも告知されました。

• 音声機能が既定で有効になります。 対応ビルドでは、/experimental を開かずに /voice でリアルタイムの会話を開始できます。あわせて、設定可能な F8 切り替えキー、今後の会話で使う声を選ぶ /voice settings ピッカー、Linux と Windows 向けの音声ランタイムの同梱、視差効果を減らす設定への対応が追加されました。
• 管理対象の worktrees が既定で有効になります。 --worktree と /worktree に機能フラグが不要になりました。worktree セッションは既存のローカルデーモンに接続でき、エージェントの一覧画面からも作成できます。
• Guardian による親スレッドの圧縮済みコンテキストの再利用が既定で有効になります： Guardian がレビューセッションを再起動するとき、親スレッドの暗号化された圧縮済みコンテキストを再利用できます。

それぞれを無効にする方法は、slash commands の表にある /voice と /worktree の行、および Guardian のセクションをご覧ください。

ほかにも、/tui で選択できるオプションの全画面 TUI が追加されました。会話記録の検索、マウスによる選択とコピー、右クリックでのコピー、クリック可能なリンク、警告ビューアーに対応しています。また、/theme ピッカーに6種類のテーマを同梱し、/usage 分析ダッシュボード、個別に表示を切り替えられるターミナル内の Mermaid 図と TeX 数式、/daemon メニュー、--no-daemon フラグを追加しました。新しい TUI スレッドでは、推論の要約が既定で無効になります。セキュリティ修正では、Windows の受信トラフィック、特権ソケット、読み取り専用ファイルハンドルに関するサンドボックスの不備を解消し、codex doctor のエラーに設定値が表示されなくなりました。不具合修正では、ターンが失敗または中断してもストリーミングされた回答を保持するようになり、tmux と SSH でのクリップボード転送、再開時の Plan モードの復元、システムプロキシ経由でのログインの復旧が修正されました。¹⁶⁹

v0.155.1（2026年9月18日）

1件の修正に絞った緊急修正版です。0.155.0 では、設定に model_reasoning_summary がない状態で新しいローカル TUI スレッドを作成すると、detailed の要約を要求していました。そのため、推論の要約に対応していないプロバイダーではリクエスト自体が拒否されていました。0.155.1 ではフォールバックを none に戻し、キーが未設定なら要約を要求しなくなりました。明示的な auto、concise、detailed の設定は、以前から引き続き尊重されます。同じ1行の変更は main にも取り込まれ、0.156.0 に含まれています。

推奨する対応：0.155.0 で OpenAI 以外のプロバイダーやセルフホストのプロバイダーを使い、新しい TUI セッションが失敗していた場合は、アップグレードしてください。要約を使いたい場合は、キーを明示的に設定します（設定リファレンスをご覧ください）。¹⁵⁸

v0.155.0（2026年9月17日）

安定版 TUI に、明示的に有効化して使う実験的な音声機能が登場しました。対応ビルドで /experimental から有効にすると、/voice で、文字起こしのストリーミング表示とマイク操作を備えたリアルタイムの会話を開始できました。ミュートのショートカットを設定でき、macOS パッケージには署名付きの音声リソースが含まれていました。5日後の v0.156.0 で、既定で有効になりました。このリリースでは、管理対象の worktrees は引き続き既定で無効でした。

0.155.0 には、次の変更も含まれています。

• MCP のユーザー確認： 対応する Mac のローカル TUI セッションで、MCP リクエストを Touch ID で確認し、Secure Enclave で署名します。ワークスペース単位の ID 制限と、MCP ツールの継続処理でのネイティブな確認にも対応しています。
• Windows の /sandbox-add-read-dir slash command が削除されました。
• Worktree の管理： エージェントの一覧画面で worktree セッションの非表示、アーカイブ、削除ができ、所有者の詳細も確認できます。変更のない管理対象 worktree を削除する前には確認が表示されます。
• リアルタイムの推論の要約が TUI のステータス行にストリーミング表示され、完了した作業には完了時刻が付きます。
• デーモン： 更新スケジュールの設定、codex app-server daemon update コマンド、デーモン再起動後のスレッド復旧が追加されました。
• Amazon Bedrock の AWS 認証情報コマンドが追加され、Python SDK の公開が安定版 CLI のリリースに合わせられました。

セキュリティ修正では、WSL の相互運用機能を使ったサンドボックスからの脱出と、シェルスナップショットによる認証情報の漏えいを防ぎました。Memory v2 は、保存と統合の基盤としてのみ導入されており、利用可能な機能にはなっていません。¹⁵⁶

v0.154.0（2026年9月9日）

このリリースは、おおむね 0.154.0-alpha.6 の時点で切り出されました。そのため、alpha.7 で初めて登場した機能（TUI のリアルタイム音声、MCP のユーザー確認、Memory v2、デーモンの自動更新設定、推論の労力の固定）はすべて 0.155 に持ち越されました。

削除されたもの：codex mcp-server と単体の codex-mcp-server バイナリです。連携は app-server プロトコル、または Claude Code 向け Codex プラグインに移行してください。Codex を外部の MCP サーバーに接続する codex mcp には影響しません（「Codex を MCP サーバーとして実行する」をご覧ください）。従来の Guardian の承認レビュー処理も削除され、新しいユーザー指示によって無効になった承認は拒否されるようになりました。

追加された機能：

• 実験的な管理対象 worktrees を --worktree または /worktree で利用できます。codex exec への対応と TUI の worktree ブラウザーも含まれます。
• 非同期のユーザーメッセージ： Codex が作業を続けている間に、入力中の下書きを失うことなくインラインの質問に回答できます。
• Windows サービスへの対応： サンドボックスのプロビジョニング、Windows 上の app-server デーモン、管理されたデーモン更新に対応します。
• リモート権限プロファイルをアプリサーバーから取得し、TUI で名前を指定して選択できます。
• Vim の R 置換モード、コンテキスト圧縮状況のリアルタイム表示、セッション開始時のモデルの対応状況に応じて有効になる実験的なコンテキスト管理が追加されました。

セキュリティ：ワークスペースの信頼が確立される前に PATH ヘルパーが実行されなくなり、macOS のサンドボックスではターミナル入力のインジェクションに対する保護が強化されました。MCP 接続間で OAuth トークンの更新を調整するようになり、リモートでの再開と分岐では保存済みの権限が維持されます。別のアプリで開いている会話を再開すると、読み取り専用の会話記録が表示されます。音声機能はランタイム基盤としてのみ搭載され、Daybreak への最初のコード参照も追加されましたが、公開ドキュメントはありませんでした。¹⁵²¹⁵³

v0.153.3 と v0.153.4（2026年9月4日）

GPT-6-Astra の提供開始を CLI に反映した、同日公開のパッチです。v0.153.3 では Amazon Bedrock のカタログに Astra を追加し（Bedrock の既定モデルは GPT-5.6 Sol のまま）、Astra の非同期の確認質問に関するガイダンスを修正しました。v0.153.4 では Astra をモデルピッカーに追加し、モデルが未設定の場合に使う同梱の既定モデルに設定しました。また、非同期の質問に関するガイダンスに、ツールが利用可能な場合に限るという条件を加えました。

推奨する対応：Astra は v0.153.1 から -m gpt-6-astra で利用でき、v0.153.4 からピッカーに表示されます。CLI の最低バージョンは文書化されていないため、これらを最低ラインとして扱ってください。同梱の既定設定で選ばれるモデルの利用権限がアカウントにない場合は、既定設定に頼らず、config.toml で model を明示的に設定しましょう。^145146147148

v0.153.1 と v0.153.2（2026年9月3日）

v0.153.1 では、Guardian のコンピューター操作のスコアリングがモデル要件に従うようになりました。コンピューター操作のみを対象とするスコアリングと高速な承認判断は、使用中のモデルのメタデータに node_repl_auto_review_required が設定されている場合にのみ実行されます。スコアリングを省略するモデルに切り替えると、過去のスコアや処理中のスコアは無効になるため、元のモデルに戻しても古い承認が復活することはありません。リリース本文に記載されているのは、API から設定できる、バックポートされた GPT-6-Astra のカタログ項目のみです。ピッカーと既定モデルは v0.153.4 まで変更されませんでした。v0.153.2 では、Astra の Fast ティアの説明を「1.5倍」から「速度2倍、使用量増加」に修正しました（表示テキストのみ）。¹⁴²¹⁴³

v0.153.0（2026年9月3日）

• Vim の元に戻す・やり直し： u と Ctrl+R で、貼り付けた内容や添付画像を含む入力欄の下書き全体を復元できます。vim_normal.redo はキーマップで設定可能なアクションです。
• リモートプラグインマーケットプレイス： プラグインの CLI でリモートプラグインの一覧表示、インストール、削除ができ、codex plugin list には提供元、バージョン、インストールポリシー、認証ポリシーが表示されます。
• tui.auto_recap = false で自動の振り返りを無効にできます。手動の /recap は引き続き利用可能です。
• Plus と Team でレート制限の警告を早めに表示します。 約5時間の枠内で利用可能量の残りが半分を下回ると警告されます。ほかのプランは 75/90/95% のしきい値を維持します。
• Guardian の対象範囲が承認モードに従います： Full Access では確認のみが必要なアクションの Guardian レビューを省略し、User 承認モードではバックグラウンドのスコアリングと事前準備を省略します。
• features.context_management.experimental_mode（既定で無効）を有効にすると、Codex バックエンド上の対象となる Plus、Pro、Pro Lite セッションで、トークン予算のコンテキスト情報、履歴メモ、new_context ツールを利用できます。
• tui.disable_paste_burst がトップレベルのキーに代わります。従来のキーもフォールバックとして引き続き使えます。

修正：app-server との接続が切れた後も、TUI セッションは下書きを保持したまま再接続します。Guardian のレビュー履歴は圧縮、再起動、分岐を経ても保持され、記憶された MCP の承認は選択中のアカウントに限定されます。¹⁴⁰

v0.152.0 と v0.152.1（2026年9月1日）

update_planがオプトインになりました： tools.update_plan.enabledのデフォルトはfalseです。無効な間は、同梱のupdate_planガイダンスがモデル、コラボレーションモード、マルチエージェント、コンパクション、プリウォーム、目標継続の各プロンプトから除外されます（「プランモードとコラボレーション」を参照）。このほか、演算子と組み合わせられるVim検索（/、?、n/N）と新規下書きの挿入モード開始、対処操作が可能なレート制限バナー、Amazon Bedrockの再認証を含む認証情報更新の進捗表示、パッケージ形式のMCPサーバー名（:、@、/、.を使用可能）、MCPのopenai/elicitationフォームリクエスト、ツールごとのMCPのoutput_token_limit、クラウドタスクの認証情報の送信先を信頼済みオリジンに限定する制限、thread/shellCommandのタイムアウト設定が追加されました。また、モデルメタデータを通じたトークン予算管理がデフォルトで有効になりました。v0.152.1では、Guardianの承認レビューでNode REPLポリシーをモデルメタデータから取得できるようになりました。¹³⁸¹³⁹

v0.151.0（2026年8月29日）

• /recapで必要に応じて会話を要約できます。また、操作されておらずフォーカスも外れている会話のうち、条件を満たすものはCodexが自動で要約します。
• コードモードのホストではWebSocketトランスポートが廃止されました（stdioとgRPCのみ）。
• 永続スレッドでは、ストアが対応している場合、ページ分割された履歴をデフォルトで使用します。
• persistent推論努力レベルが、時計ツールおよび能動的な動作を促す同梱ガイダンスとともに導入されました。
• Guardian v2は、デフォルトで画像を使ってコンピューター操作をレビューするようになりました。
• Vimにf/F/t/Tによる文字検索・直前移動のモーションと、gg/Gが追加されました。
• 権限を昇格したターミナルへの入力時に、新たな承認を要求できるようになりました（write_stdin_approval、デフォルトは無効）。
• 任意のMCPサーバーに対する起動猶予期間を設定できるようになりました（mcp_optional_startup_grace_ms、デフォルトは1,000ミリ秒）。また、拡張機能でMCPツールの結果を検査・置換できるようになりました。

修正により、/cdでサンドボックスの制限が弱まる問題と、権限変更後に古いGuardianの分類結果で操作が承認される問題が解消されました。リリース本文には直近の数件のPRのみが記載されています。変更の全体は比較ページで確認できます。¹³⁴¹³⁵

v0.150.0とv0.150.1（2026年8月26〜27日）

hooksにInterruptイベントが追加されました。実行中の最上位ターンが中断されたときに実行されます（デフォルトのタイムアウトは1秒、上限は3秒で、サブエージェントでは実行されません）。/copyでは、応答全体、個々のコードブロック、引用ブロックを選択する画面が開きます。@メンションでタスクを指定できるようになり、エージェントはタスクの読み取り、作成、タスクへのメッセージ送信が可能になりました。/renameでは編集可能なタイトルが提案されます。Markdownリンクはクリック可能なラベルとして表示され、ショートカットで権限モードを切り替えられるようになりました。Vimには.による繰り返しが追加され、信頼されていないプロジェクトのプロジェクトレベルのAGENTS.md指示は読み込まれなくなりました。features.network_proxy.credential_brokerとGuardian v2のreview_scope.computer_use_onlyが設定項目として追加されました。どちらもデフォルトでは無効です。v0.150.1では、保持された画像もリモートコンパクションのトークン予算に算入されます。¹³²¹³³

v0.149.0とv0.149.1（2026年8月20〜24日）

untrusted承認ポリシーが廃止されました。このポリシーを指定している設定はon-requestに移行してください。新たに、対話型のcodex agentsダッシュボード、/cd、/pwd、/cwd、既存のローカルまたはリモートセッションにメッセージを送るcodex queue、Vimの追加の変更モーション、対応範囲を拡大したcodex doctor（エンドポイント保護、ネットワークとプロキシの障害、デスクトップアプリの状態、更新先への接続）、SDKでのmax/ultra推論努力レベルが導入されました。再開または分岐したスレッドでは、権限プロファイルが復元されます。v0.149.1ではcodex exec --thread-source <SOURCE>が追加されました（user、subagent、memory_consolidation、または機能名を指定します。TypeScript SDKではthreadSourceです）。

同時期の料金変更として、OpenAIは8月21日から3か月間（少なくとも2026年11月21日まで）、GPT-5.6 Solの料金を20%以上引き下げました。また、SolのCodexクレジット単価は、入力・キャッシュ済み入力・出力の各100万トークンあたり125/12.5/750クレジットから100/10/500クレジットに下がりました。^120121126

v0.147.0とv0.148.0（2026年8月7〜18日）

v0.147.0ではcodex exec --full-autoが削除されました（v0.128から非推奨）。--sandbox workspace-writeと承認フラグ、またはプロファイルを使用してください。また、--approve-for-me、カタログを横断して検索できるポータブルなAgent Plugins、オプトインのMCP 2026-07-28プロトコル、会話セクションが追加されました。v0.148.0では、Markdownに出力する/export、codex exec fork、/statusでの推定クレジット数または費用の表示、組み込みプロバイダーとしてのAmazon Bedrock Runtime、非同期実行やMCP呼び出しに対応したhooks、パスへのアクセスが拒否された場合やパスを読み取れない場合に操作を許可しないサンドボックス制限が追加されました。¹¹⁶¹¹⁸

過去のリリース（2026年5〜7月）

• v0.146.0とv0.146.1（7月29日、8月5日）： 設定済みのプロキシがすべてのトランスポートに適用されるようになりました。Agent Pluginsマニフェスト、Amazon BedrockとClaude Codeのマーケットプレイス、スレッドのピン留めに対応したセッション命名、実行側が提供するskillsが追加されました。サイバー分野の能力を持つモデル向けに、自動レビューのデフォルト設定も強化されました。¹¹⁴¹¹⁵
• v0.145.0（7月21日）： Claude Codeに加え、Cursorからも/importできるようになりました。音声機能がストリーミング方式のリアルタイムV3会話として復活し、オプトインのマルチエージェントv2の動作が安定化しました。実験的なページ分割スレッド履歴とAmazon Bedrockへのログインが追加され、組み込みのGPT-5.4の選択肢はGPT-5.6 TerraとLunaに移行しました。v0.144.6では、GPT-5.6のコンテキストウィンドウが272,000トークンに設定されました。¹¹¹¹¹²
• v0.140.0（6月15日）： /usage、codex deleteと/delete、Claude Codeからの/import、統合された@メンションメニュー、Amazon BedrockのAPIキー認証、CLIおよびMCPのOAuth認証情報を暗号化してローカルに保存する機能が追加されました。従来の/realtime音声操作は削除されました。¹⁰²
• v0.139.0（6月9日）： コードモードからウェブ検索を直接呼び出せるようになりました。ツールスキーマではoneOf/allOfが保持され、codex doctorはエディターとページャーの詳細を報告するようになりました。また、JSONの出力にマーケットプレイスのソースが表示されます。¹⁶⁵
• v0.138.0（6月8日）： /appでCLIセッションをデスクトップアプリに引き継げるようになりました。マルチエージェントv2では、親エージェントからサブエージェントへ送るタスクのテキストが暗号化されます。¹⁶⁶¹⁰⁸
• v0.137.0（6月4日）： マルチエージェントv2、F13-F24のTUIキーバインド、v1 skills拡張が追加されました。¹⁶⁷
• v0.132.0〜v0.135.0（5月20〜28日）： ローカルの会話履歴検索、主なプロファイル選択手段としての--profile、目標機能のデフォルト有効化、権限プロファイルの継承と管理対象のrequirements.toml、codex remote-controlの開始と停止、codex doctorと/statusの情報拡充、Vimのテキストオブジェクト、/permissionsでの名前付き権限プロファイル、Python SDKの認証とSandboxプリセット、codex exec resume --output-schemaが導入されました。5月21日のアプリ更新では、Appshots、Goalモードの一般提供、オプトインでロックされるComputer Useが追加されました。^{96979899100101196}

従来の--full-autoはv0.147.0で削除され、js_replも引き続き削除された状態です。^86878991116

安定性に関する注記： 安定版としてドキュメント化されている機能は、コアのCLIとTUI、サンドボックスと承認ポリシー、config.toml、AGENTS.md、skills、hooks、プラグイン、マルチエージェントツール、目標、権限プロファイル、/voiceと管理対象のworktrees（v0.156.0以降はデフォルト）、全画面の会話履歴とバックグラウンドサーバーの自動起動（v0.157.0以降はデフォルト）、ターミナル入力の承認、選択時のコピー、右クリックでの貼り付け（v0.158.0以降はデフォルト）、即時中断（v0.162.0以降はデフォルトですが、開発中の表記は残っています）、Daybreakとコードモードの中断（cli_daybreak、code_mode_interrupt、v0.163.0以降は安定版として有効）、Bedrockセットアップウィザード、ツールの差分更新、MCP OAuthの更新調整（v0.164.0以降は安定版として有効）です。管理対象のworktreesとリアルタイム会話は、v0.164.0で恒久的な機能となりました。対応するフラグは削除済みとされ、機能自体は有効のままです。Browser、Computer Use、Appshotsは、ユーザー向け機能としてドキュメント化されていますが、利用できるかどうかはプラットフォームとプランによって異なります。実験段階または開発中の機能には、Codex Cloud、コードモードとコードモードのツール検索、Memory v2、ローカルエージェント掲示板、Guardianの履歴と引き継ぎコンテキストのフラグ（v0.160.0）、このガイドで[EXPERIMENTAL]と記載されているものや/experimentalに掲載されているものが含まれます。これらはリリース間で変更される可能性があります。実験的なコンテキスト管理は、設定リファレンスによると「現在は利用できません」。削除されたものは、--full-auto（v0.147.0）、untrusted承認ポリシー（v0.149.0）、codex mcp-server（v0.154.0）、Guardianのthread_contextオプトアウト（v0.158.0）、パッチ適用済みのzsh本体とともに削除されたshell_zsh_forkおよびunified_exec_zsh_forkフラグ（v0.163.0）、js_replです。

Alphaチャネル： alphaビルドは1日に数回リリースされますが、alpha系列のリリース説明は簡略なものです。また、古いベースから作られる通常の系列外のビルドも定期的に登場します。npmのalphaタグがそうしたビルドを指していた例は少なくとも2回あり、その際は@alphaでlatestより古いビルドがインストールされました。0.158系列は0.158.0-alpha.2（9月23日）からalpha.15（9月25日）まで進みました。その安定版であるv0.158.0（9月28日）は、alpha.15に16件のバックポートを加えた系列外ビルド0.158.0-alpha.15.4から作られ、27時間後にv0.159.0が公開されるまでnpmのlatestでした。0.159系列はalpha.1（9月25日）からalpha.13（9月28日）まで進み、alpha.13をもとにv0.159.0としてリリースされました。0.160系列は0.160.0-alpha.6（9月29日）に到達したところで凍結されました。0.161.0-alpha.1は、alpha.6のバージョン番号だけを変更したものです。9月30日には、alpha.6に欠けていたv0.159.2のWindowsコンソール修正1件を追加した0.160.0-alpha.6.1が登場しました。同日、0.159系列ではさらにパッチ版v0.159.3がリリースされました。その後、0.160系列はalpha.6.1に1件のバックポートを加えた安定版v0.160.0（10月1日）、続いてv0.160.1（10月5日）としてリリースされました。0.161系列ではalpha版と系列外のバックポートが作られ、最新は0.161.0-alpha.13.1（10月6日）ですが、安定版はまだありません。ただし、それより上のバージョンも安定版としてリリースされていないため、スキップされたとは呼んでいません。現在、alphaは0.162.0-alpha.16を指しています。alpha版を追いかける場合は、npm view @openai/codex dist-tagsを確認し、@alphaではなく正確なバージョンを指定してインストールしてください。^176179181185 最近のalpha系列が安定版としてリリースされるまでの日付付きの履歴は、¹⁷³にあります。0.161系列は10月7日、0.161.0-alpha.13.1にリリース用コミットを1件加えたv0.161.0としてリリースされました。10月8日には0.162.0-alpha.18.1をもとにv0.162.0が続きましたが、0.162.0-alpha.20はその安定版の分岐点から52コミット先に進んでいました。10月9日にはv0.162.1で3件のコミットが追加されました。alphaは10月10日時点で0.163.0-alpha.5を指し、10月13日にalpha.8、alpha.9、alpha.10へと進み、10月14日には0.163.0-alpha.11になりました。0.163系列は10月15日に安定版となりました。v0.163.0は系列外の0.163.0-alpha.10.2にリリース用コミットを1件加えて作られ、その時点でalpha.11はその分岐点から23コミット先に進んでいました。0.164系列は10月16日にalpha.1とalpha.2で始まり、10月17日までに0.164.0-alpha.3、10月22日までにalpha.12に到達しました。並行して、系列外ビルドの0.163.0-alpha.11.1と11.2（10月21〜22日）、0.164.0-alpha.11.1（10月23日）も登場しました。0.164系列は10月23日、alpha.11にリリース用コミットを1件加えた安定版v0.164.0としてリリースされました（alpha.12はその分岐点から9コミット先に進んでいました）。同日、alphaは0.165.0-alpha.1に移りました。^{189190191193195}

Codex の仕組み：メンタルモデル

機能を詳しく見ていく前に、Codex のアーキテクチャがあらゆる操作にどう影響するのかを理解しておきましょう。このシステムは、共通のインテリジェンス層に支えられた5つのサーフェスで動作します。

┌─────────────────────────────────────────────────────────┐
│                    CODEX SURFACES                       │
├─────────────────────────────────────────────────────────┤
│  ┌──────────┐  ┌──────────┐  ┌──────────┐  ┌────────┐   │
│  │   CLI    │  │ Desktop  │  │   IDE    │  │ Cloud  │   │
│  │ Terminal │  │   App    │  │Extension │  │  Tasks │   │
│  └──────────┘  └──────────┘  └──────────┘  └────────┘   │
│  Local exec     Multi-task    Editor-native  Async      │
│  + scripting    + worktrees   + inline edits detached   │
│  ┌──────────┐                                           │
│  │ Browser  │  Signed-in browser workflows              │
│  │Extension │  (launched May 2026)                      │
│  └──────────┘                                           │
├─────────────────────────────────────────────────────────┤
│  EXTENSION LAYER                                        │
│  ┌─────────┐  ┌─────────┐  ┌─────────┐  ┌─────────┐     │
│  │   MCP   │  │ Skills  │  │  Apps   │  │  Search │     │
│  └─────────┘  └─────────┘  └─────────┘  └─────────┘     │
│  External tools, reusable expertise, ChatGPT            │
│  connectors, web search (cached + live)                 │
├─────────────────────────────────────────────────────────┤
│  SECURITY LAYER                                         │
│  ┌─────────────────────────────────────────────────┐    │
│  │    Sandbox (Seatbelt / bubblewrap / seccomp)    │    │
│  │    + Approval Policy (on-request → never)       │    │
│  └─────────────────────────────────────────────────┘    │
│  OS-level filesystem + network restrictions             │
├─────────────────────────────────────────────────────────┤
│  CORE LAYER                                             │
│  ┌─────────────────────────────────────────────────┐    │
│  │         GPT-5.x-Codex Intelligence              │    │
│  │   Tools: Shell, Patch, Read, Web Search         │    │
│  │   (legacy artifact, read_file, grep_files       │    │
│  │    removed in v0.117.0)                         │    │
│  └─────────────────────────────────────────────────┘    │
│  Shared model across all surfaces; costs tokens         │
└─────────────────────────────────────────────────────────┘

コア層：すべての基盤となるのが GPT モデルファミリーです。2026年9月29日時点の現行世代は GPT-6 です。複雑なコーディングやエージェント型の作業には gpt-6.1-sol（v0.159.1以降、モデル未設定時にバンドル版 CLI で使用されるデフォルト）、最も難しいエンドツーエンドの作業には gpt-6-astra、対象を絞った大量のタスクには gpt-6-luna が用意されており、前世代の gpt-6-sol も利用できます。GPT-5.6モデル（Sol、Terra、Luna）はロールアウト期間中も引き続き利用できます。gpt-5.5（Codex では400Kコンテキスト、API では1M）は、ChatGPT サインインで利用する Codex から2026年10月14日に廃止され、gpt-5.4 は2026年8月31日に Codex から廃止されました。^{83117146148149171178} この層はファイルの読み取り、パッチの書き込み、シェルコマンドの実行、コードベースに関する推論を担います。コンテキストがいっぱいになると、Codex は会話を圧縮して空き容量を確保します。この層ではトークンを消費します。

セキュリティ層：Codex が実行するすべてのコマンドは、OSレベルのサンドボックスを通過します。macOS では、Apple の Seatbelt フレームワークがカーネルレベルの制限を適用します。Linux では、Bubblewrap がファイルシステムと名前空間を分離し、seccomp がシステムコールをフィルタリングします。従来の Landlock 実装はレガシー方式として残されています。サンドボックスはコンテナ内ではなく、カーネルレベルで動作します。そのうえで、承認ポリシーが人間による確認を求めるタイミングを決定します。

拡張層：MCP は外部サービス（GitHub、Figma、Sentry）に接続します。skills は再利用可能なワークフローをパッケージ化し、Codex が必要に応じて読み込みます。アプリは ChatGPT connectors に接続します。Web検索を使えば、インターネットからリアルタイムのコンテキストを追加できます。

サーフェス層：CLI は、ターミナルのパワーユーザーや自動化向けです。デスクトップアプリは、複数スレッドでのプロジェクト管理に適しています。IDE拡張機能は、編集・コンパイル・テストを繰り返すループで活躍します。Cloud では、独立して実行される非同期タスクを扱えます。

重要なポイント：ほとんどのユーザーが利用するサーフェスは1つだけです。パワーユーザーは5つすべてを使い分けます。長時間実行するタスクには Cloud、決定論的なリポジトリ操作には CLI、密なコーディングループには IDE拡張機能、計画と調整にはデスクトップアプリ、サインイン済みのブラウザワークフローにはブラウザ拡張機能を使用します。

目次

1. Codex をインストールするには？
2. クイックスタート：最初のセッション
3. 主要な操作サーフェス
4. 設定システムの詳細
5. どのモデルを選ぶべき？
6. Codex の料金は？
7. 意思決定フレームワーク
8. サンドボックスと承認システムの仕組みは？
9. AGENTS.md の仕組みは？
10. Hooks
11. MCP（Model Context Protocol）とは？
12. Code Mode
13. JavaScript REPLランタイム
14. Skills とは？
15. Plugins
16. Plan Mode とコラボレーション
17. メモリシステム
18. セッション管理
19. 非対話モード（codex exec）
20. Codex Cloud とバックグラウンドタスク
21. Codex デスクトップアプリ
22. GitHub Action と CI/CD
23. Codex SDK
24. パフォーマンス最適化
25. 問題をデバッグするには？ – codex doctor を含む
26. エンタープライズ展開
27. ベストプラクティスとアンチパターン
28. ワークフローレシピ
29. 移行ガイド
30. クイックリファレンスカード
31. 変更履歴
32. 参照資料

Codexをインストールするには？

パッケージマネージャー

# npm (recommended)
npm install -g @openai/codex

# Homebrew (macOS)
brew install --cask codex

# winget (Windows)
winget install OpenAI.Codex

# Upgrade to latest
npm install -g @openai/codex@latest

Codex CLIを更新、ダウングレード、アンインストールするには？

Codexにはv0.128.0から自己更新コマンドが搭載されています。それ以外の操作は、 インストールに使ったパッケージマネージャーで行います。⁸⁶ v0.146.0以降、リリース成果物、チャネルのメタデータ、インストーラーのエイリアスは、OpenAIがホストするリリース基盤から配信され、GitHubがフォールバック先となります。¹¹⁴ Codexのインストールと更新のためにネットワークの許可リストにGitHubを登録している場合は、OpenAIのリリースホストも追加してください。フォールバックがあるため、許可リストに登録がなくても明示的なエラーにはならず、気づかないうちに代替経路が使われます。

# Check what you are running
codex --version                          # -> codex-cli 0.164.0
npm view @openai/codex version           # Latest published version

# Update
codex update                             # Built-in self-update (v0.128.0+)
npm install -g @openai/codex@latest      # Or update via npm
brew upgrade --cask codex                # Or via Homebrew

# Pin or downgrade to an exact version
npm install -g @openai/codex@0.144.6

# Uninstall
npm uninstall -g @openai/codex
brew uninstall --cask codex
winget uninstall OpenAI.Codex

リリースの更新で問題が起きたら、バージョンを固定するのが適切です。 Codexの安定版は更新が速いため、 特定のバージョンを指定してインストールするのが最も手早いロールバック方法です。問題を報告し、バージョンを固定して作業を続けましょう。 ロールバックが反映されたかは、codex --versionで確認してください。 PATH上で別のインストールが優先されていると、気づかないまま古いバイナリが使われ続けます（codex doctorは、まさにこの問題を Environmentの項目で指摘します）。

パッケージをアンインストールしても、保存された状態は削除されません。 認証情報、設定、セッション履歴は ~/.codex/に保存されています。再インストール後もログイン状態と履歴を引き継ぐには、そのまま残してください。 完全に初期化したい場合に限って削除しましょう。rm -rf ~/.codexを実行すると、config.toml、 auth.json、保存済みのすべてのセッションも削除されます。

直接インストール用スクリプト（v0.106.0以降）

macOSとLinux向けには、1行で実行できるインストールスクリプトがGitHubのリリースアセットとして提供されています。⁶⁰

curl -fsSL https://github.com/openai/codex/releases/latest/download/install.sh | sh

スクリプトはプラットフォームとアーキテクチャを自動検出し、適切なバイナリをダウンロードしてPATHの通った場所に配置します。

バイナリのダウンロード

npmやHomebrewがない環境では、GitHub Releasesからプラットフォーム別のバイナリをダウンロードしてください。¹

システム要件

• macOS：Apple SiliconまたはIntel（Seatbeltによるサンドボックスの完全サポート）
• Linux：x86_64またはarm64（bubblewrap + seccompによるサンドボックス）
• Windows：制限付きトークンを使ったネイティブサンドボックス（v0.100.0で実験段階から正式機能へ移行）。WSLにも対応しています²

認証

codex login                  # Interactive OAuth (recommended)
codex login --device-auth    # OAuth device code flow (headless)
codex login --with-api-key   # API key from stdin
codex login status           # Check auth state (exit 0 = logged in)
codex logout                 # Clear stored credentials

認証方法は2つあります。

1. ChatGPTアカウント（推奨）：既存のPlus、Pro、Team、Business、Edu、Enterpriseサブスクリプションでサインインします。クラウドタスクを含むすべての機能を利用できます。
2. APIキー：環境変数CODEX_API_KEYまたはcodex login --with-api-keyで設定します。一部の機能（クラウドスレッド）は利用できない場合があります。

活用のヒント：認証情報の保存先は、config.tomlのcli_auth_credentials_storeで設定できます。選択肢はfile（デフォルト）、keyring（OSのキーチェーン）、auto（利用可能ならkeyring、それ以外はファイル）です。

Amazon Bedrockログイン（v0.145.0、実験的機能）： Amazon Bedrock経由でモデルにアクセスするチーム向けに、カスタムエンドポイントと認証に対応した実験的なログイン方法が用意されています。既存のマネージドAPIキー認証（v0.140.0以降）やAWS認証情報チェーンと併用できます（カスタムモデルプロバイダーを参照）。BedrockのデフォルトモデルはGPT-5.6 Solです。¹¹² v0.150.0では、Amazon Bedrockモデルの会話の圧縮とマルチエージェント互換性に関する問題が修正されています。¹³² v0.151.0では、対象のTUIサインインフローに、機能フラグで有効化するAmazon Bedrockの選択肢が追加されました。初期設定時に既存のAWSプロファイルと環境内の認証情報を検出し、プロファイル、アクセスキー、環境変数、Bedrock APIキーの手動設定に対応します。AWSリージョンの入力を受け付け、入力中のシークレットをマスクし、プロバイダーの変更時には組み込みサーバーを再起動します。¹³⁵ v0.152.0では、認証情報の更新状況が表示されるようになりました。モデルプロバイダーが期限切れの認証情報を更新している間、TUIとcodex execに進捗が表示されます。Amazon Bedrockセッションの再認証も対象です。この仕組みは、スレッド、ターン、プロバイダー、ユーザー向けメッセージを含む、安定版のapp-server通知modelProvider/authRecoveryStartedとmodelProvider/authRecoveryCompletedによって支えられています。¹³⁸

シェル補完

# Generate completions for your shell
codex completion bash > /etc/bash_completion.d/codex
codex completion zsh > ~/.zsh/completions/_codex
codex completion fish > ~/.config/fish/completions/codex.fish

インストールの確認

codex --version
# codex-cli 0.164.0

クイックスタート：初めてのセッション

5分で準備を整え、実際の作業を始めましょう。

1. インストールして認証します：

npm i -g @openai/codex          # Install
codex login                      # Log in with your OpenAI account

2. プロジェクトに移動します：

cd ~/my-project                  # Any git repo works

3. Codexを起動します：

codex

対話型のTUIが表示されます。Codexはプロジェクト構造を自動的に読み取ります。

4. 質問します：

> What does this project do? Summarize the architecture.

Codexが主要なファイルを読み取り、コードベースを説明します。このような質問では変更は行われません。Codexがファイルを変更するのは、変更を依頼したときだけです。事前の確認が必要になる条件は、サンドボックスと承認ポリシーによって決まります。

5. 変更を加えます：

> Add input validation to the login endpoint

Codexが変更内容を差分として提案します。内容を確認し、yで承認するか、nで却下してください。

6. slash commandsを使います：

> /plan Refactor the database layer to use connection pooling

Codexは実行せずに計画を作成します。計画を確認し、承認すると実行が始まります。

7. 作業結果を確認します：

> /diff

現在のセッションでCodexが行ったすべての変更を確認できます。

次のステップ： - AGENTS.mdにプロジェクトの指示を設定しましょう（AGENTS.mdはどのように機能しますか？を参照） - ワークフローに合わせてプロファイルを設定しましょう（プロファイルを参照） - 非対話型の自動化にcodex execを試してみましょう（非対話モードを参照）

主な操作インターフェース

Codexには、同じ知能を基盤とする5つの異なるインターフェースがあります。それぞれ、異なるワークフローに適しています。

1. 対話型CLI（ターミナルUI）

codex                        # Launch TUI
codex "fix the failing tests" # Launch with initial prompt
codex -m gpt-6-sol          # Specify model
codex --sandbox workspace-write --ask-for-approval on-request

ターミナルUIは、次の要素を備えた全画面アプリです。

• 入力欄：プロンプトの入力、@によるファイルの添付、!プレフィックスによるシェルコマンドの実行ができます
• 出力ペイン：モデルの応答、ツール呼び出し、コマンド出力がストリーミングで表示されます
• ステータスバー：モデル、トークン使用量、gitブランチ、サンドボックスモードが表示されます

TUIの主なショートカット：

ステータス行の変更（v0.121.0）： ステータス行にあった従来のコンテキストウィンドウメーターは、コンテキストウィンドウの使用率を示すパーセント表示に置き換わりました。ステータス行を解析するスクリプトやhooksを使っている場合は、この形式変更を確認してください。⁸² また、新しいバージョンが利用可能になると、CodexはCLIにアップデートのお知らせを表示します。

TUIで利用できるslash commands：

ワークフロー選択メニューの刷新（v0.129.0）： 選択メニューが刷新され、再開や分岐を選びやすくなりました。また、新しい未加工のスクロールバックモードでは、コマンドやモデルの出力をそのままコピーしたいときに、レンダリング前の会話履歴をスクロールできます。長いデバッグセッションで問題を切り分ける場合や、出力を別のツールに渡す場合に便利です。⁸⁹

統合された@メンションメニュー（v0.140.0）： 入力欄で@を入力すると、デフォルトでファイル、プラグイン、skillsをまとめたメンションメニューが開くようになりました。従来のファイル専用の添付操作に代わり、1回のキー入力であらゆるプロジェクトリソースを参照できます。¹⁰²

2. Codex Desktop App（macOS + Windows）

codex app                    # Launch desktop app (auto-installs if missing)

デスクトップアプリには、CLIにはない次の機能があります。

• マルチタスク：異なるプロジェクトで複数のエージェントを同時に実行できます
• Git worktreeによる分離：各スレッドは、リポジトリの分離されたコピーで作業します
• インラインでの差分レビュー：アプリを離れずに変更をステージング、取り消し、コミットできます
• 統合ターミナル：スレッドごとにコマンド実行用のターミナルがあります
• 会話の分岐：会話を分岐させ、別の方法を検討できます
• フローティングウィンドウ：会話を切り離し、自由に移動できるウィンドウに表示できます
• 自動化：定期的なタスクをスケジュールできます（issueのトリアージ、CIの監視、アラート対応）
• Appshots：Macの最前面にあるアプリウィンドウを、スクリーンショットと取得可能なテキストとともにスレッドへ添付できます
• アプリ内ブラウザーのコメント：ローカルまたは公開ページをプレビューし、要素や領域にコメントを付けて、見た目に関する具体的なフィードバックをCodexに反映させられます
• Computer Use：許可したMacアプリをCodexに操作させ、範囲を限定したGUI作業を任せられます。対象のリモートMac Computer Useターンでは、ロック中の利用をオプトインで有効にできます

GPT-Liveを搭載したChatGPT Voice（デスクトップ版26.715、2026年7月23日）：デスクトップアプリを音声で操作できるようになりました。文字を入力せずに、作業について話しながら、Chat、Work、Codexをまたいでタスクを調整できます。macOSでは、画面コンテキストを有効にすると、最前面のウィンドウのappshotが会話に共有されるため、見ているものを説明せずに、その内容について質問できます。Plus、Pro、Business、Edu、Enterpriseで利用でき、デスクトップアプリのほか、iOSのRemote経由でも使えます。これはデスクトップインターフェースの音声機能です。CLIには独立した音声機能として、TUIでの/voiceによるリアルタイム会話（v0.156.0以降はデフォルトで有効）と、スペースバーによる音声入力（v0.105.0で実験的に追加）があります。¹¹³¹⁶⁹

スレッドのスナップショット共有（2026年8月20日）：すべてのCodexプランで、macOSのデスクトップアプリからローカルのCodexスレッドを読み取り専用のスナップショットとして共有できます。元のスレッドが変更されても、スナップショットは更新されません。個人アカウントのリンクはリンクを知っている人なら誰でも開けますが、ワークスペースアカウントのリンクは共有元ワークスペースのメンバーだけが開けます。Codexは共有前に既知の秘密情報パターンを検出してマスキングします。ただし、機密情報が残る可能性があるため、OpenAIは共有内容を確認するよう案内しています。リンクの確認や無効化は、ChatGPTのデータコントロールにある共有リンクから行えます。¹²⁸

アプリとCLIの使い分け：複数の作業を調整する場合や、視覚的に差分をレビューしたい場合は、デスクトップアプリが適しています。ターミナルのコマンドを組み合わせたい場合、スクリプトを使う場合、CI/CDと連携する場合は、CLIを使いましょう。

3. IDE拡張機能（VS Code、Cursor、Windsurf）

CodexのIDE拡張機能は、エディターに直接統合されます。

• デフォルトでエージェントモード：ファイルの読み取り、編集、コマンド実行ができます
• インライン編集：作業中のファイルで、コンテキストに応じた提案が表示されます
• セッションの共有：CLIとIDE拡張機能の間でセッションが同期されます
• 共通の認証：ChatGPTアカウントまたはAPIキーでサインインできます

VS Code Marketplace、またはCursor/Windsurfの拡張機能ストアからインストールしてください。³

4. Codex Cloud [EXPERIMENTAL]

クラウドタスクは、OpenAIが管理する環境で非同期に実行されます。

• 実行を任せておける：タスクをキューに追加すると、ローカルマシンとは独立して実行されます
• 並列実行：複数のクラウドタスクを同時に実行できます
• PRの作成：完了した作業からCodexがプルリクエストを作成します
• ローカルへの適用：codex apply <TASK_ID>でクラウドの実行結果をローカルリポジトリに取り込めます

codex cloud list             # List recent cloud tasks
codex apply <TASK_ID>        # Apply diff from a specific cloud task

クラウドタスクには、chatgpt.com/codexからもアクセスできます。⁴

5. ブラウザー拡張機能（Chrome、Edge、Brave、Opera、Vivaldi）

CodexはGoogle Chrome、Microsoft Edge、Brave、Opera、Vivaldi向けのブラウザー拡張機能としても提供され、CLI、デスクトップアプリ、IDE拡張機能、クラウドに続く5つ目のインターフェースとなっています。2026年5月にChrome向けに公開され、2026年8月25日の変更履歴でほかの4つのブラウザーへの対応が追加されました。ChatGPTデスクトップアプリの設定 > Computer Useから設定できます。5つともタブのメンションとブラウザー操作に対応しています。Operaはサイドチャットに対応していないため、デスクトップアプリからタスクを開始してください。この拡張機能は、普段のブラウジングを妨げず、並行して動作するよう設計されています。Codexはバックグラウンドで複数のタブを並列に操作し、アクセスを許可するサイトはユーザーが管理できます。⁹⁰¹²⁷

• タブの並列実行：手前のタブをロックせずに、Codexが複数のタブを同時に操作します。
• サイトごとの制御：Codexが操作できるWebサイトを許可リストで指定します。デフォルトではアクセスは許可されていません。
• ブラウザーを作業の場に：管理コンソール、社内ダッシュボード、コンテンツ管理UI、チケットシステムなど、ページ上の情報が基準となるアプリやWebサイトの作業に適しています。ローカルリポジトリで使うCLIを置き換えるものではありません。
• 共通の知能：ブラウザー拡張機能は、ほかのインターフェースと同じGPT-5.x-Codexの知能で動作します。そのため、CLIで使っているAGENTS.mdやskillsの設定に基づく規約は、ブラウザーを介した作業にも引き継がれます。

以前は「Codex for Chrome」というタイトルだったブラウザー拡張機能のドキュメントからインストールしてください。¹²⁷

設定システムの詳細

Codex は設定に TOML を使用します。設定が競合したときにどれが優先されるかを決めるため、優先順位を理解することが重要です。

優先順位（高い順）

1. セッションのオーバーライド（最高）：CLI フラグ（--model、--sandbox、--ask-for-approval、--search、--enable/--disable、--profile）および -c key=value によるオーバーライド
2. プロジェクト設定（.codex/config.toml。CWD からプロジェクトルートに向かって探索され、最も近いディレクトリが優先されます）
3. ユーザー設定（$CODEX_HOME/config.toml。デフォルトは ~/.codex/config.toml）
4. システム設定（Unix では /etc/codex/config.toml）
5. 組み込みのデフォルト値（最低）

requirements.toml はポリシー制約レイヤーとして機能し、通常の設定をマージした後にユーザーが選択できる値を制限します。エンタープライズデプロイをご覧ください。

設定ファイルの場所

上級者向けのヒント：CODEX_HOME 環境変数を設定すると、デフォルトの ~/.codex ディレクトリを上書きできます。CI/CD や複数アカウントの構成に便利です。

デスクトップの複数フォルダープロジェクト（26.715、2026年7月23日）：ChatGPT デスクトップアプリのローカルプロジェクトでは、関連する複数のフォルダーを使用し、そのうち1つをプライマリフォルダーとして指定できるようになりました（プロジェクトメニュー → プロジェクトを編集）。config.toml の自動検出は、プライマリフォルダーのみを対象に実行されます。セカンダリフォルダーもファイルの検索、読み取り、編集には引き続き利用できますが、設定には反映されません。セカンダリフォルダー内の .codex/config.toml は Codex が読み取れるファイルではあるものの、読み込まれる設定ではありません。これはデスクトップアプリにおけるプロジェクトのスコープ設定であり、前述の優先順位が変更されたわけではありません。CLI は引き続き、現在の作業ディレクトリから上位へたどってプロジェクト設定を解決します。¹¹³

設定項目の完全なリファレンス

# ~/.codex/config.toml — annotated reference

# ─── Model Selection ───────────────────────────────────
model = "gpt-6.1-sol"                  # Docs' example; unset = bundled default (gpt-6.1-sol since v0.159.1)
model_provider = "openai"               # Provider (openai, oss, or custom provider id)
model_context_window = 272000           # Token count available to active model (override)
model_auto_compact_token_limit = 200000 # Threshold triggering automatic history compaction
model_reasoning_effort = "medium"       # minimal|low|medium|high|xhigh (model-dependent)
model_reasoning_summary = "auto"        # auto|concise|detailed|none
model_verbosity = "medium"              # low|medium|high
personality = "pragmatic"               # none|friendly|pragmatic
review_model = "gpt-6-sol"             # Optional model for /review command
service_tier = "fast"                  # Preferred service tier for new turns
oss_provider = "lmstudio"              # lmstudio|ollama (used with --oss)

# ─── Sandbox & Approval ───────────────────────────────
sandbox_mode = "workspace-write"        # read-only|workspace-write|danger-full-access
approval_policy = "on-request"          # on-request|never (untrusted retired in v0.149.0)

[sandbox_workspace_write]
writable_roots = []                     # Additional writable paths
network_access = false                  # Allow outbound network
exclude_tmpdir_env_var = false          # Exclude $TMPDIR from sandbox
exclude_slash_tmp = false               # Exclude /tmp from sandbox

# ─── Web Search ────────────────────────────────────────
web_search = "live"                     # Web search mode (constrained by allowed modes)

# ─── Tools ─────────────────────────────────────────────
tools.update_plan.enabled = false       # Planning tool opt-in (v0.152.0); exposes update_plan when true

# ─── Instructions ──────────────────────────────────────
developer_instructions = ""             # Additional injected instructions
model_instructions_file = ""            # Custom instructions file path
compact_prompt = ""                     # Custom history compaction prompt

# ─── Shell Environment ─────────────────────────────────
allow_login_shell = false               # Allow login shell semantics (loads .profile/.zprofile)

[shell_environment_policy]
inherit = "all"                         # all|core|none
ignore_default_excludes = false         # Set true to keep KEY/SECRET/TOKEN vars
exclude = []                            # Glob patterns to exclude
set = {}                                # Explicit overrides
include_only = []                       # Whitelist patterns

# ─── Authentication ────────────────────────────────────
cli_auth_credentials_store = "file"     # file|keyring|auto
forced_login_method = "chatgpt"         # chatgpt|api
mcp_oauth_callback_port = 0            # Fixed port for MCP OAuth callback (0 = random)
mcp_oauth_credentials_store = "auto"   # auto|file|keyring

# ─── History & Storage ─────────────────────────────────
[history]
persistence = "save-all"                # save-all|none
max_bytes = 0                           # Cap size (0 = unlimited)

tool_output_token_limit = 10000         # Max tokens per tool output (global; per-tool MCP overrides in v0.152.0)
log_dir = ""                            # Custom log directory
sqlite_home = ""                        # Override SQLite-backed resumable state location

# ─── UI & Display ──────────────────────────────────────
file_opener = "vscode"                  # vscode|vscode-insiders|windsurf|cursor|none
hide_agent_reasoning = false
show_raw_agent_reasoning = false
check_for_update_on_startup = true

[tui]
notifications = false                   # Enable notifications
notification_method = "auto"            # auto|osc9|bel
animations = true
show_tooltips = true
alternate_screen = "auto"               # auto|always|never
status_line = ["model", "context-remaining", "git-branch"]
mouse_scroll_speed = 1.0                # Mouse-wheel scroll multiplier, a finite positive number (v0.162.0)

# ─── Project Trust ─────────────────────────────────────
project_doc_max_bytes = 32768           # Max AGENTS.md size (32 KiB)
project_doc_fallback_filenames = []     # Alternative instruction filenames
project_root_markers = [".git"]         # Project root detection

# ─── Feature Flags ─────────────────────────────────────
# Use `codex features list` for current names/stages/defaults.
[features]
shell_tool = true                       # Shell command execution (stable)
unified_exec = true                     # PTY-backed exec (stable)
shell_snapshot = true                   # Shell env snapshots (stable)
enable_request_compression = true       # zstd request compression where supported (stable)
fast_mode = true                        # Service-tier selection and Fast-tier commands (stable)
instant_interrupt = true                # New input preempts the model's response; on by default since v0.162.0 (under development)
api_key_model_discovery = true          # Fetch the model catalog when signed in with an OpenAI API key; on by default since v0.161.0 (stable)
goals = true                            # Goal mode; stable and on by default in v0.133.0+
hooks = true                            # Lifecycle hooks (stable)
multi_agent = true                      # Enable multi-agent collaboration tools (stable)
personality = true                      # Personality selection (stable)
plugins = true                          # Plugin system (stable)
plugin_hooks = true                     # Plugin-bundled hooks (stable)
plugin_sharing = true                   # Workspace plugin sharing (stable)
browser_use = true                      # In-app browser automation (stable)
browser_use_external = true             # Browser-extension browser use (stable)
computer_use = true                     # macOS Computer Use (stable, plan/region gated)
in_app_browser = true                   # Shared rendered-page preview (stable)
image_generation = true                 # Image-generation tool (stable)
guardian_approval = true                # Auto-review approval path (stable)
skill_mcp_dependency_install = true     # Prompt/install missing skill MCP deps (stable)
tool_suggest = true                     # Tool/plugin suggestion surface (stable)
workspace_dependencies = true           # Workspace dependency discovery (stable)
memories = true                         # Memories (experimental)
network_proxy = false                   # Sandboxed-command network proxy (experimental); boolean or table, see below
prevent_idle_sleep = true               # Keep machine awake during active turns (experimental)
terminal_resize_reflow = true           # Terminal reflow improvements (experimental)
guardian_conversation_history_tools = false  # Guardian reads earlier user messages (under development, v0.160.0)

# Removed or deprecated feature names still appear in `codex features list`
# for migration diagnostics. Do not set removed flags such as
# `collaboration_modes`, `request_rule`, `codex_git_commit`,
# `apply_patch_freeform`, `search_tool`, or `js_repl` in new configs.

# ─── Guardian Auto-Review (v0.160.0 history keys) ─────
[auto_review]
conversation_history_max_output_tokens = 4000   # Per history-tool response, estimated tokens (default 4,000)
experimental_conversation_history_prompt = ""   # Blank = built-in retrieval instructions

# ─── Multi-Agent Roles (v0.102.0+) ───────────────────
[agents]
max_threads = 4                         # Maximum concurrent agent threads

[agents.explorer]
description = "Read-only codebase navigator"
config_file = "~/.codex/profiles/explorer.toml"

# ─── Notifications ────────────────────────────────────
notify = ["terminal-notifier", "-title", "Codex"]  # Command for notifications

# ─── Per-Project Overrides ────────────────────────────
[projects."/absolute/path/to/repo"]
trust_level = "trusted"                 # Per-project trust override

features.network_proxy は boolean | table です。 boolean 形式ではプロキシの起動または停止のみを指定し、table 形式ではポリシーも設定できます。このプロキシは、サンドボックス化されたコマンドに対して権限プロファイルのドメインルールを適用します。無効にすると、[permissions.<name>.network] のドメインルールは適用されず、コマンドはネットワークへ直接アクセスします。Web 検索、アプリ、MCP servers、その他のホスト型ツールはフィルタリングしません。¹³⁰

[features.network_proxy]
enabled = true
allow_local_binding = false
proxy_url = "http://127.0.0.1:3128"

[features.network_proxy.domains]
"api.github.com" = "allow"
"*.npmjs.org" = "allow"          # subdomains only
"**.example.com" = "deny"        # apex plus subdomains; deny wins on conflicts

管理者が管理する requirements.toml の experimental_network 要件により、features.network_proxy を指定せずにプロキシを起動できます。¹³⁰

プロファイル

作業モードごとに名前を付けた設定プリセットです。Codex 0.134.0 以降、各プロファイルは独立したファイルになっています。~/.codex/<name>.config.toml にはトップレベルのキーのみを記述し、--profile <name> を指定すると、そのファイルが ~/.codex/config.toml に重ねて適用されます。従来の config.toml 内の [profiles.<name>] テーブルと、トップレベルの profile = "<name>" セレクターは読み込まれなくなりました。古い [profiles.<name>] テーブルが残っている場合、そのキーをプロファイルファイルへ移動するまで、--profile <name> を指定しても起動できません。¹²²

# ~/.codex/fast.config.toml
model = "gpt-6-luna"
# GPT-6 Sol/Luna start on the Fast tier (2.5x credits) unless service_tier is set; check /fast status
model_reasoning_effort = "low"
approval_policy = "on-request"
sandbox_mode = "workspace-write"
personality = "pragmatic"

# ~/.codex/careful.config.toml
model = "gpt-6-astra"
model_reasoning_effort = "xhigh"
approval_policy = "on-request"   # `untrusted` retired in v0.149.0
sandbox_mode = "read-only"

# ~/.codex/auto.config.toml
model = "gpt-6.1-sol"
# GPT-6.1 Sol starts at Standard speed; /fast toggles Fast (2.5x credits)
model_reasoning_effort = "medium"
approval_policy = "never"
sandbox_mode = "workspace-write"

プロファイルファイルは、基本のユーザー設定より上位、プロジェクト設定および CLI 設定より下位のレイヤーです。そのため、基本設定と異なる値だけを記述すれば十分です。¹²²

プロファイルを有効にします。

codex --profile fast "quick refactor"
codex --profile careful "security audit"
codex -p auto "fix CI"

上級者向けのヒント：設定のトップレベルに profile = "fast" を指定すると、デフォルトのプロファイルを設定できます。セッションごとに変更するには --profile を使用します。

カスタムモデルプロバイダー

Azure、AWS Bedrock、ローカルモデル、またはプロキシサービスに接続します。

[model_providers.azure]
name = "Azure OpenAI"
base_url = "https://YOUR_PROJECT.openai.azure.com/openai"
wire_api = "responses"
query_params = { api-version = "2025-04-01-preview" }
env_key = "AZURE_OPENAI_API_KEY"

# Built-in amazon-bedrock provider (v0.123.0+, first-class in v0.124.0+)
# AWS SigV4 signing + credential-based auth; AWS profile selectable via the
# nested `aws.profile` field (NOT a top-level `aws_profile` key).
# v0.130.0+ also accepts credentials from `aws login` (the AWS console-login
# flow) — Codex resolves the cached console-login session for the chosen
# profile if static keys are absent.
# v0.140.0+ adds managed Amazon Bedrock API-key authentication, and stores
# CLI and MCP OAuth credentials in encrypted local storage.[^184]
[model_providers.amazon-bedrock]
name = "Amazon Bedrock"

[model_providers.amazon-bedrock.aws]
profile = "default"                   # any profile from ~/.aws/credentials
# Region/credential resolution otherwise follows the standard AWS chain;
# v0.130.0 added support for `aws login` console-login profiles in addition
# to static access keys and IAM role assumption.[^168]

[model_providers.ollama]
name = "Ollama (Local)"
base_url = "http://localhost:11434/v1"
wire_api = "chat"

env_key には、プロバイダーの API キーを保持する環境変数の名前を指定します。キー自体を config.toml に記述することはありません。requires_openai_auth = true を設定したプロバイダーでは、初回実行時にログイン画面が表示されます。認証情報は必ずしも auth.json に保存されるわけではなく、cli_auth_credentials_store で選択したバックエンド（file、keyring、または auto）に保存されます。v0.160.0 以降、model_catalog_url を設定したプロバイダーでは、そのカタログ内のモデルだけが利用可能となり、同梱モデルは統合されません。また、カタログの更新に失敗した場合、古いキャッシュを再利用せず、キャッシュ済みのエントリを破棄します。¹⁸² v0.162.0 以降、Responses 互換のカスタムプロバイダーでは、サポートする機能を [model_providers.<name>.capabilities] で宣言することもできます。external_web_access = false を指定すると、そのプロバイダーのホスト型 Web 検索はライブ Web にアクセスしません。また、remote_compaction = "v2" を指定すると Responses の compaction_trigger プロトコルが有効になります。このプロトコルは通常、OpenAI および Azure Responses プロバイダーでのみ利用できます（"unsupported" を指定すると、コンパクションはローカルで行われます）。¹⁸⁷

警告： chat/completions のワイヤー API（wire_api = "chat"）は OpenAI がホストするモデルでは非推奨となり、OpenAI は2026年2月に廃止を発表しました。³⁴ ローカルプロバイダー（Ollama、LM Studio）では、引き続きこの形式を受け付ける場合があります。OpenAI エンドポイントでは、代わりに wire_api = "responses" を使用してください。

--oss フラグを使用してローカルモデルを利用します。

codex --oss "explain this function"               # Uses default OSS provider
codex --oss --local-provider lmstudio "explain"   # Explicit LM Studio
codex --oss --local-provider ollama "explain"      # Explicit Ollama

または、設定ファイルで指定します。

model_provider = "oss"
oss_provider = "lmstudio"   # or "ollama"

インライン設定のオーバーライド

コマンドラインから任意の設定値を上書きできます。

codex -c model="gpt-5.5" "refactor the API"
codex -c 'sandbox_workspace_write.network_access=true' "install dependencies"
codex -c model_reasoning_effort="xhigh" "debug the race condition"

どのモデルを選ぶべきですか？

利用可能なモデル（2026年9月）

GPT-5.5（2026年4月23日）は、リリース時点でほとんどのCodexタスクにOpenAIが推奨していたモデルです。複雑なコーディング、コンピューター操作、知識労働、調査ワークフローに適しています。ChatGPT Plus / Pro / Business / Enterprise / Edu / Go向けには4月23日にCodex CLI / web / デスクトップで、OpenAI APIでは4月24日に提供されました。コンテキストウィンドウはCodexで400K、APIでは1Mです。Codexでは、各サブスクライバーティアのスループットとコストのバランスを取るため、ウィンドウが400Kに制限されます。APIでは完全な1Mを利用できます。料金（API）は、MTokあたり入力$5 / 出力$30です（GPT-5.4の2倍。OpenAIによると、トークン効率の改善後の実質的な増加は約20%）。ベンチマークは、Terminal-Bench 2.0で82.7%（一般公開モデルの中で当時のSOTA）、GDPval（44職種）で84.9%、OSWorld-Verifiedで78.7%、Tau2-bench Telecom（プロンプト調整なし）で98.0%です。OpenAIはリリース前、GPT-5.5とCodexを社内で使用してサービング基盤を書き直し、トークン生成速度を20%向上させました。⁸³

GPT-5.5は、ChatGPTサインインを使用するCodexでは2026年10月14日に提供終了予定です――モデルのドキュメントでは、提供終了の対象を全プラン（コンシューマー、Business、Enterprise、Eduを含む）のChatGPT、ChatGPT Work、Codexとし、OpenAI APIには適用されないと明記しています。¹⁵⁵ GPT-6のリリースに伴い、代替モデルの案内も変更されました。Plus、Pro、Business、Enterprise、Eduではgpt-6-solを、FreeとGoではデスクトップアプリのgpt-6-lunaを、それぞれ「利用可能になり次第」選択してください。ワークスペースのデフォルト、保存済みのモデル設定、管理対象の設定、カスタムエージェント、スケジュール済みタスク、スクリプトに含まれるgpt-5.5を置き換えてください。¹⁷¹

GPT-5.4とGPT-5.4 miniは、ChatGPTサインインを使用するCodexでは2026年8月31日に提供終了しました。¹¹⁷ モデルのドキュメントでは、現在の代替モデルとしてgpt-6-solとgpt-6-lunaが案内されています（EnterpriseとEduでは、最初に管理者がLunaを有効にする必要があります）。APIキーによる利用は影響を受けません。⁶⁴¹⁷¹ 正確なモデル一覧はアカウントや展開状況によって異なります。ローカルキャッシュ~/.codex/models_cache.jsonを確認してください。

非推奨化に関する注意（2026年3月11日）：GPT-5.1モデルはChatGPTで利用できなくなりました。既存の会話はGPT-5.3 Instant、GPT-5.4 Thinking、またはGPT-5.4 Proで自動的に継続されます。GPT-5.1-Codex-Miniは、2026年7月23日に停止されるまでAPIおよびCLI経由で引き続き利用できました。⁷¹⁸⁸

無料ティアに関する注意（2026年5月5日）：GPT-5.5 Instantは、2026年5月5日にChatGPTの無料ティアへ展開されました。これによりGPT-5.5ファミリーの利用者は有料プラン以外にも広がりましたが、Codex CLIを利用するには、引き続き対象となるPlus / Pro / Business / Enterprise / Edu / GoサブスクリプションまたはAPIキーが必要です。⁹²

GPT-5.4 mini（2026年3月17日）：GPT-5.4を小型化、高速化したバリアントで、400Kのコンテキストを備え、料金はMTokあたり$0.75/$4.50です。GPT-5.4のクォータの30%しか消費しません。サブエージェントへの委任に最適です。GPT-5.4に計画と調整を任せ、GPT-5.4 miniのサブエージェントには、コードベースの検索、ファイルのレビュー、ドキュメント処理など、対象を絞ったサブタスクを並行して処理させます。⁷⁶

Bedrock GPT-5.6（Sol、Terra、Luna）（v0.143.0、2026年7月8日）：Codexでは、Amazon Bedrockでホストされる3つのGPT-5.6モデルバリアントが正式にサポートされ、max推論レベルにも対応しました。Bedrockプロバイダー経由でモデルを利用するチームは、ほかのカスタムプロバイダーモデルと同じ方法で選択できます（カスタムモデルプロバイダーを参照）。maxレベルは、最も難しい推論やエージェント型のワークロードを対象としています。¹⁰⁶ v0.144.6（2026年7月18日）では、Sol、Terra、Lunaの同梱指示が更新され、コンテキストウィンドウが272,000トークンに修正されました。¹¹¹ v0.145.0（2026年7月21日）では、カスタムエンドポイントと認証に対応する実験的なBedrockログインが追加され、GPT-5.6 SolがBedrockのデフォルトモデルになりました。また、同梱のGPT-5.4モデルの選択は、対応するTerraおよびLunaバリアントへ移行されます。¹¹²

GPT-6-Astra（2026年9月3日リリース。v0.153.1～v0.153.4でCodexに追加）：明確な日付を含む経緯は次のとおりです。2026年9月3日、v0.153.1でAPI専用のカタログエントリが準備され、同日にOpenAIがGPT-6-Astraを発表しました。9月4日にはv0.153.4で選択画面への項目追加と、同梱CLIのデフォルト切り替えが行われました。発表では、限定された組織（最初はサイバーセキュリティプログラムのパートナー）から開始し、ChatGPT Plus、Pro、Business、Enterpriseへ「今後数日間」で拡大する段階的な展開に加え、OpenAI APIとAWSでの提供も説明されています。これらの展開情報は報道（CNBC、Axios、Forbes、Al Jazeera、9to5Mac）に基づきます。¹⁴⁵ 9月4日時点の情報はその後更新されました。OpenAIはXで、GPT-6 Astraが「ChatGPT WorkおよびCodexのすべてのPro、Enterprise、Business Premiumユーザーに利用可能になった」ほか、「APIでも提供を開始した」と発表し、PlusとBusinessにも数日以内に提供する見込みを示しました。同日の夜、Codex責任者のTibo Sottiauxも「AstraはすべてのPlusおよびBusinessユーザーにも展開されました」と補足しています。実際の利用権限には依然としてばらつきがあります。9月5日のコミュニティ報告では、PlusアカウントでCodexにGPT-5.6モデルしか表示されない例がありました。また、以下で引用するモデルのドキュメントの利用可否に関する記述も変わっていないため、引き続き第一者による有効な声明として扱います。¹⁴⁹ 第一者のドキュメントはすでに公開されています。APIのモデルページでは、gpt-6-astraを「最も困難なエンドツーエンド作業向けに構築された、最も高性能なモデル」というフラッグシップとして掲載しています。仕様は、標準の短いコンテキスト料金で入力$10/MTok、出力$50/MTok、コンテキストウィンドウ1.05Mトークン、最大入力922,000トークン、最大出力128K、知識カットオフは2026年4月30日です。長いコンテキスト向けのティアも明記されており、入力トークンが272Kを超えるプロンプトには、リクエスト全体に入力2倍、出力1.5倍の料金が適用されます。料金ページでは入力$20/MTok、出力$75/MTokで、GPT-5.6 Terra（バランス重視）やLuna（低予算）を上回ります。CodexのドキュメントではAstraを推奨Codexモデルとしつつ、利用可否は「展開状況、サインイン方法、クライアントによって異なる」と説明し、対象としてPro、Business（$100）、Enterpriseアカウントを挙げています。Astraでドキュメント化されているCodexの推論レベルは、Low、Medium、High、Extra High、Max、Ultraです。モデルのドキュメントではMediumがデフォルトですが、v0.153.4の同梱カタログではdefault_reasoning_levelがlowに設定されています。そのため、実際のデフォルトは利用環境によって異なるものとして扱い、セッション内で/statusを確認してください。9月15日に再確認した時点でも推論レベルは変わらず、各レベルの説明が選択画面に追加されています（Ultraの原文は「Maximum reasoning with automatic task delegation」）。MaxとUltraにはSDKでの確認が伴います。Python SDK 0.154.0（2026年9月10日リリース）では、maxとultraの推論レベルが追加されました（#39662）。^146148153 CLIでは、Astraはv0.153.1以降、APIを使用して設定でき（-m gpt-6-astra）、v0.153.3でAmazon Bedrockのカタログに追加されました（v0.157.0でGPT-6 Solに変更されるまで、BedrockのデフォルトはGPT-5.6 Solのままでした¹⁷⁴）。v0.153.4以降はモデルの選択画面に表示され、モデルが明示的に設定されていない場合の同梱デフォルトになっています。CLIの最低バージョンは文書化されていないため、これらを実質的な最低バージョンとして扱ってください。このデフォルト変更は、同梱CLIカタログに関するもので、すべての利用環境に適用されるわけではありません。ただし、cloudとの差はその後解消されました。9月4日と9月7日の確認では、AstraはCodex cloudで利用不可とされていました（GPT-5.6 Solは利用可能）が、9月15日の再確認では利用可否の表でAstraもCodex cloudで利用可能とされています。ただし、ページには引き続き「現在、Codex cloudチャットのデフォルトモデルは変更できません」と記載されています。展開上の注意として、利用権限はアカウントによって異なります。CLI 0.153.4以降では、展開対象外のアカウントにも、まだ実行できないモデルが同梱デフォルトとして設定されています。確実にモデルを選択するにはconfig.tomlで固定するか、-mを渡してください。v0.156.1以降、ドキュメントの例でもmodel = "gpt-6-sol"が使用されています。モデルページにはFastティアの記載がありませんが、AstraのFastモード料金は文書化されています。Codexの速度に関するドキュメントでは、ChatGPTサインイン時に「利用可能な場合」、Standardの2.5倍のクレジットを消費するとされています。APIの料金ページでは、Fastモードの料金が該当するStandard料金のちょうど2倍で、短いコンテキストではMTokあたり$20/$100、長いコンテキストでは$40/$150です。v0.153.2のカタログ文字列にある「2倍速」という部分は、引き続きカタログ上の表示テキストにすぎません。速度に関するページでは、Astraの速度倍率は明記されていません。^145146147148 一部更新、2026年9月23日：モデルのドキュメントでは、Astraを推奨Codexモデルとは説明しなくなりました。「Recommended models」セクションではGPT-6 SolとLunaが先に挙げられ、Astraは「最も困難なエンドツーエンド作業」向けとされています。また、AstraはCodex cloudで利用不可とされ、開始時の推論レベルはLight（low）となり、同梱カタログと一致しました。モデルが設定されていない場合、Astraは引き続き同梱CLIのデフォルトです。¹⁷¹ 2026年9月29日に更新：v0.159.1ではGPT-6.1 Solが同梱デフォルトになり、Astraは選択画面の2番目に移動しました。モデルのドキュメントでは、複雑なコーディングにはGPT-6.1 Solを推奨しつつ、Astraは最も困難なエンドツーエンド作業向けとして維持されています。ドキュメントの設定例もgpt-6.1-solを使用するようになりました。¹⁷⁸

AstraでのPowerプリセット（2026年9月6日以前にドキュメントへ追加）：Codexのモデルに関するドキュメントでは、モデル選択画面のPowerオプションがGPT-6-Astraの推論レベルに対応付けられています。これは、PowerプリセットとAstraの対応を初めて示したドキュメントです。この段落は¹⁴⁶の9月5日の再確認時にはなく、9月7日に公開を確認しました。原文は次のとおりです。「For eligible Pro, Business ($100), and Enterprise accounts, the Astra rollout updates the Power options to Terra Light, Sol Light, Sol Medium, Astra Light, Astra Medium, and Astra Extra High. Options can differ by plan and rollout stage.」直前の文では、選択画面の図にGPT-5.6のコントロールが引き続き表示されていることも説明されています。上記のモデル表と併せて読むと、「Power」はGPT-5.6 Solのmedium推論を意味していましたが、利用権限のあるアカウントでは、同じプリセットの段階にTerra、Sol、Astraが固定された推論レベルで含まれるようになりました。選択肢は引き続きプランと展開段階によって異なります。この段落の原文は、2026年9月15日の再確認時にも変更されていません。¹⁴⁶ 2026年9月23日に更新：GPT-6 SolとLunaのリリース後、ドキュメントでは6つのPowerプリセットを「Luna High、Sol Light（開始時のプリセット）、Sol Medium、Astra Light、Astra Medium、Astra Extra High」と記載しています。一部の有料プランではAstra Extra Highが利用できないことも説明され、SolはMedium、LunaはHigh、AstraはLight（low）から始めることが推奨されています。¹⁷¹

コンテキストをまたぐ実験的なメモ機能（Astra、ドキュメント公開済み、オプトイン）：Codexのモデルに関するドキュメントには、「Experimental context management」というセクションがあります。原文は次のとおりです。「On supported Codex clients, users signed in with ChatGPT Plus or Pro can opt in to experimental context management. Astra keeps notes across context windows and can search earlier messages and tool results from the same task. This experiment is off by default and isn’t available with Business, Enterprise, or API-key sign-in at launch.」オプトイン方法の原文は次のとおりです。「To opt in, set features.context_management.experimental_mode = true in your config.toml, then start a new task.」これはv0.153.0で追加されたfeatures.context_management.experimental_modeと同じ設定項目です（コンテキスト管理を参照）。ドキュメントでは、この機能をAstraの名前、およびPlusとProによるサインインに明示的に関連付けています。一方、v0.153.0のリリースノートでは、対象としてPlus、Pro、Pro Liteのセッションが挙げられていました。v0.154.0ではコード側の制約が厳格化され、セッション開始時に、使用中のモデルの機能に基づいて実験の利用資格が判定されるようになりました（#43147）。ドキュメントのセクションは、2026年9月15日の再確認時にも原文のまま変更されていません。実験的な機能であり、デフォルトではオフです。動作や利用条件は今後変更される可能性があります。^140146152 v0.157.0：同梱モデルカタログでは、GPT-6-Astraを含むすべての同梱モデルから、実験的なコンテキスト管理への対応を示す指定が削除されました（#47397）。CLIでは、その対応が指定されたモデルに対してのみ実験を有効にします。したがって、同梱カタログを使用する場合、オプトインしても効果はありません。サインイン済みアカウントに提供されるカタログが異なるかどうかは、文書化されていません。モデルのドキュメントでは、2026年9月26日時点でもオプトインについて説明していました。¹⁷⁴ 2026年9月29日：モデルページからこのセクションが削除され、設定リファレンスではfeatures.context_management.experimental_modeについて「Experimental context-management setting. The feature is not currently available」と説明されています。GPT-6.1 Solにも、この機能への対応は指定されていません。¹⁷⁸

モデル選択フローチャート

Is this a quick fix, extraction, or other well-defined repeatable task?
├─ Yes → gpt-6-luna (most efficient; docs suggest starting at High)
└─ No
   ├─ Do you need real-time pairing speed?
   │  ├─ Yes → gpt-5.3-codex-spark (near-instant, Pro only)
   │  └─ No
   │     ├─ Hardest end-to-end work across many steps and tools?
   │     │  ├─ Yes → gpt-6-astra (strongest; most expensive)
   │     │  └─ No → gpt-6.1-sol (near-Astra at lower cost; default since v0.159.1)
   └─ GPT-6.1 Sol not yet available on your account? → gpt-6-sol, then gpt-5.6-sol

推論レベル

応答前にモデルがどの程度「考える」かを制御します。

対応するレベルはモデルによって異なります。minimalを利用できるのはGPT-5モデルのみです。すべてのモデルが全レベルに対応しているわけではありません。

persistentの詳細（v0.151.0）：persistentレベルで実行されるターンでは、現在時刻のリマインダーと中断可能なclock.sleepツールがデフォルトでオンになります（明示的なfeatures.current_time_reminderの設定と管理対象の要件は維持されます）。また、モデルのメタデータでpersistent_instructionsを通じて上書きまたは無効化できる、能動性とフォローアップに関する同梱ガイダンスも提供されます。¹³⁵

codex -c model_reasoning_effort="xhigh" "find the race condition"

上級者向けのヒント：同じプロンプトでも、xhigh推論はmediumの3～5倍のトークンを使用することがあります。追加の思考に見合う、本当に難しい問題にのみ使用してください。

TUIで推論レベルをすばやく操作（v0.124.0以降）。⁸⁵ 対話型のTUIセッションでは、Alt+,で推論レベルを1段階下げ、Alt+.で1段階上げられます。セッション途中で難しい問題に直面した際、/effortや-cを使わず、一時的にmedium → high → xhighと引き上げる場合に便利です。セッション途中でモデルのアップグレードを受け入れると、以前のレベルは引き継がれず、新しいモデルのデフォルトへ推論レベルがリセットされます。

モデルの切り替え

セッション途中では/model slash commandでモデルを切り替えられます。また、実行ごとに--model / -mを指定することもできます。

codex -m gpt-5.3-codex-spark "pair with me on this component"

Codex の料金は？

機能についてはモデルの選択、タスクごとに適切なモデルを選ぶ方法については意思決定フレームワークもご覧ください。

ChatGPT プラン経由のアクセス

Codex を利用できるかどうかは、ChatGPT のプランと組織の設定によって異なります。⁵¹

2026年4月の料金改定： Business の年払い料金は、1シートあたり月額$25から$20に引き下げられました。Business と Enterprise のワークスペースでは、従量課金の Codex 専用シートも利用できるようになりました。固定シート料金はなく、トークン消費量に基づいて課金されます。⁷⁹ 現在、料金ページでは、2026年2月の Desktop App リリース時に提示されていたプロモーションの2x倍率ではなく、モデル別の範囲として上限を掲載しています（上表を参照）。¹⁶¹⁶²

2026年5月の利用上限引き上げ（2026年5月31日に終了）： Plus プランの Codex では、5時間枠の上限が25倍（通常の引き上げ幅は20倍）となり、同じ期間中は月額$100のティアも2倍になりました。⁸⁹

TUI のレート制限 UX（v0.152.0〜v0.153.0）： 上限に達しても、そこで行き止まりになることはありません。v0.152.0では、コンポーザーの上部に操作可能なレート制限バナーが表示されます。利用状況の確認、クレジットの管理、上限のリセット、ワークスペース所有者への通知、プランの管理が可能で、認証済みのアカウントとユーザーに該当する項目だけが表示されます。上限エラーの後には利用状況が更新され、バナーで指示された場合は、関連のないスレッド設定を変更せずに、最初に利用可能なフォールバックモデルへ Codex が切り替わります。¹³⁸ v0.153.0では、Plus と Team プランに対する警告が従来より早く表示されるようになりました。約5時間の利用枠で残量が半分を下回ると警告が発生します。その他のプランや異なる長さの利用枠では、従来どおり75%、90%、95%のしきい値が使用されます。¹⁴⁰

クレジット消費量

Codex の操作では、プランに割り当てられたクレジットを消費します。

これらは Standard 速度の料金であり、料金ページによると、GPT-6 のリリース後も GPT-5.6 Sol、Terra、Luna の料金は「変更なし」です。実際には「GPT-5.6 の利用では、1メッセージあたり平均5〜30クレジットを消費」します（8月のアクセス開始時点では5〜40と記載されていました）。Fast モードでは、GPT-6.1 Sol、および「利用可能な場合」の GPT-6 Astra、Sol、Lunaについて、Standard の2.5倍のクレジットを消費します。また、バンドルされたカタログでは、service_tierを設定しない限り、TUI の GPT-6 Sol と Luna（GPT-6.1 Sol を除く）で Fast がデフォルトのティアとなります。予想よりクレジットの減りが速い場合は、/fast statusを確認してください。画像生成では、同等のテキストのみのターンと比べて、含まれる上限を3〜5倍速く消費します。^162171178

Enterprise と Edu プランでは、契約上の割り当てに応じてクレジットが拡張されます。現在の利用状況は、TUI で/statusを確認してください。

API の課金

API 経由で Codex を使用する場合、選択したモデルに対する OpenAI の標準的な API 料金に基づき、トークン単位で課金されます（適用可能なプロンプトキャッシュ割引を含む）。100万トークンあたりの現在の API 料金は、GPT-6.1 Sol が入力$2 / 出力$10（キャッシュ済み入力$0.10）、GPT-6 Sol が$2 / $10、GPT-6 Luna が$0.10 / $0.50、GPT-6 Astra が$10 / $50です。4モデルすべてで、入力が272Kトークンを超えるプロンプトは、リクエスト全体について入力が2倍、出力が1.5倍の料金となり、Fast モードは2倍です。^146171178 ChatGPT のクレジット倍率は、API キーによるサインインには適用されません。現在の料金については、公式 API 料金ページをご確認ください。²⁰

コスト最適化戦略

1. プロファイルを使用する：日常的なタスク向けに、gpt-6-lunaとmodel_reasoning_effort = "low"を指定したfastプロファイルを作成します
2. 高い推論レベルは必要な場合に限る：xhighはトークン消費量が3〜5倍になるため、本当に難しい問題だけに使用します
3. --ephemeralを使用する：CI/CD ではセッションを永続化せず、オーバーヘッドを削減します
4. 推論要約を最小限にする：説明が不要な場合は、model_reasoning_summary = "none"を設定します
5. exec モードで一括処理する：自動化ワークフローでは、codex execによって TUI のオーバーヘッドを回避できます
6. 利用状況を監視する：TUI の/statusと組織の課金ダッシュボードを確認します。v0.148.0以降では、対象となるワークスペースの/status、ステータス行、ターミナルタイトルに、スレッドの推定クレジット数またはコストが表示されます¹¹⁸

実際のコスト例

一般的なタスクにおける代表的な API コスト（2026年半ばの gpt-5.3-codex 料金を使用したスナップショット、推論レベルは medium。モデルが変わっても相対的な規模感は共通です）：

コストは、推論レベル、キャッシュ、会話の長さによって変動します。日常的なタスクにはgpt-5.6-lunaを使用すると、費用を大幅に削減できます。キャッシュ済みの入力トークンには割引料金が適用されます。

隠れたトークンのオーバーヘッド

ツールを呼び出すたびに、画面に表示されるプロンプト以外のトークンも追加されます。

上級者向けのヒント： 実際の利用状況は、TUI の/statusで監視してください。トークン数には、表示されているメッセージだけでなく、すべてのオーバーヘッドが含まれます。予想外のコストが発生した場合は、接続されている MCP サーバーの数を確認しましょう。各サーバーのツール定義が、API を呼び出すたびに追加されます。

チームのコスト管理

チームのコストを管理するための戦略： - requirements.tomlを設定することで、組織全体にモデルと推論レベルの制限を適用します - CI/CD にはgpt-5.6-lunaを使用する — 自動化パイプラインで最大レベルの推論が必要になることはほとんどありません - プロファイルベースで予算を管理する — コスト上限を適切に設定したci、review、devプロファイルを定義します - OpenTelemetry で監視する — Enterprise 環境では、利用状況のテレメトリを既存の可観測性スタックへエクスポートできます

判断フレームワーク

各インターフェースを使い分ける基準

各 sandbox モードを使い分ける基準

各推論レベルを使い分ける基準

Plan モードと直接実行

Will Codex need to change more than 3 files?
│
├── YES → Use Plan Mode (/plan)
│         Codex designs the approach BEFORE making changes.
│         You review and approve the plan.
│         Best for: refactors, new features, migrations
│
└── NO → Is the change well-defined?
         │
         ├── YES → Direct execution
         │         Just describe the task. Codex executes immediately.
         │         Best for: bug fixes, small features, test additions
         │
         └── NO → Use Plan Mode (/plan)
                  Let Codex explore and propose an approach first.
                  Best for: unfamiliar codebases, ambiguous requirements

Steer モード：Enter と Tab

目安：Enter =「止まって、今すぐこれを聞いてください」。Tab =「今の作業が終わったら、これも実行してください」。

Desktop App と CLI

How do you prefer to work?
│
├── Terminal-first → Use CLI
│   │
│   ├── Single focused task → codex (interactive TUI)
│   ├── Scripted automation → codex exec (non-interactive)
│   └── Quick one-shot → codex exec "prompt" -o result.txt
│
└── Visual/multi-project → Use Desktop App
    │
    ├── Multiple parallel tasks → Multi-thread with worktree isolation
    ├── Visual diff review → Built-in Git diff viewer
    ├── Scheduled automation → Automations tab
    └── Voice-driven → Ctrl+M for voice dictation

どのプロファイルを選ぶべきか

タスクに合った設定済みプロファイルを選びます。

プロファイルファイル（各プリセットにつき1つ、~/.codex/ 内。従来の単一ファイルによる profile = "default" + [profiles.*] レイアウトは、0.134.0 以降読み込まれません¹²²）：

# ~/.codex/fast.config.toml
model = "gpt-6-luna"
# GPT-6 Sol/Luna start on the Fast tier (2.5x credits) unless service_tier is set; check /fast status
model_reasoning_effort = "low"

# ~/.codex/careful.config.toml
model = "gpt-6-astra"
model_reasoning_effort = "xhigh"

# ~/.codex/pair.config.toml
model = "gpt-5.3-codex-spark"
model_reasoning_effort = "high"

# ~/.codex/ci.config.toml
model = "gpt-6-luna"
# GPT-6 Sol/Luna start on the Fast tier (2.5x credits) unless service_tier is set; check /fast status
model_reasoning_effort = "low"
sandbox_mode = "workspace-write"

セッションごとにプロファイルを切り替えるには、codex --profile careful を使用します。

Sandbox と承認システムの仕組み

Codex は、技術的に可能な操作と、人間の承認を求めるタイミングを分離する2層のセキュリティモデルを採用しています。このアプローチは Claude Code の権限システムとは根本的に異なり、Codex は OS カーネルレベルで制限を適用します。⁵ 管理者が組織全体に適用する requirements.toml の制約については、エンタープライズデプロイもご覧ください。

v0.148.0 の堅牢化： Linux と Windows の両方で、sandbox の制限がフェイルクローズになりました。拒否されたパスや読み取れないパスは暗黙的に許可されず、ブロックされたものとして扱われます。¹¹⁸

レイヤー1：Sandbox（可能な操作）

sandbox は、OS ネイティブの仕組みを使ってファイルシステムとネットワークへのアクセスを制御します。

プラットフォーム固有の制限適用：

• macOS：Apple の Seatbelt フレームワークを sandbox-exec 経由で使用します。モード固有のプロファイルが実行時にコンパイルされ、カーネルによって適用されます⁶。v0.121.0 以降、macOS の sandbox プロファイルでは、特定の Unix ソケット（docker.sock、エディタの IPC ソケットなど）を許可リストに追加できます。また、プライベート DNS の名前解決はデフォルトでブロックされなくなりました。⁸²
• Linux：ファイルシステムと名前空間の分離には bubblewrap（bwrap）、システムコールのフィルタリングには seccomp を使用し、独立したヘルパープロセス（codex-linux-sandbox）を通じて実行します。Landlock の実装はレガシーとして維持されており、v0.163.0 では制限の適用方法を変更せずに、crate 内の Landlock に由来するコマンド型とシステムコールモジュールの名前が変更されました。⁵¹⁹³ Codex は作業ディレクトリ外の PATH で最初に見つかった bwrap を優先し、見つからない場合は同梱の codex-resources/bwrap（v0.100.0 からベンダー提供）を使用します⁷。bwrap が見つからない場合や、ユーザー名前空間を作成できない場合は、起動時に警告が表示されます。v0.117.0 では、レガシーなカーネル設定を使用する古いディストリビューションでの sandbox の信頼性が向上しました。⁷⁵ v0.129.0 では Linux における sandbox の起動処理が強化され、ベンダー提供の Bubblewrap が上流のセキュリティパッチを含む 0.11.2 に更新されました。v0.130.0 では起動処理がさらに強化されています。⁸⁹⁹¹
• Windows：制限付きトークンを使用するネイティブ sandbox です（v0.100.0 で実験的機能から正式機能に昇格）。WSL にも対応しており、Linux の bubblewrap と seccomp を継承します。v0.117.0 では、プロセス分離を改善する制限付きトークン sandbox の機能強化が含まれています。⁷⁵ v0.130.0 では、sandbox ユーザーにデスクトップランタイムのバイナリキャッシュへのアクセス権が付与され、Windows sandbox が workspace-sandbox ユーザー向けのランタイムバイナリを確実に解決できるようになりました。⁹¹

これが重要な理由：コンテナベースの sandbox（Docker）とは異なり、OS レベルの sandbox は高速かつ軽量で、脱出も困難です。Codex がシステムコールを認識する前に、カーネルが制限を適用します。

セキュリティ修正： - zsh-fork による sandbox 回避（v0.106.0）： zsh の fork を介したシェル実行により、sandbox の制限を回避できる脆弱性が修正されました。⁶⁰ 以前のバージョンを使用している場合は、直ちにアップグレードしてください。 - 入力サイズの上限（v0.106.0）： 極端に大きなペイロードによる停止を防ぐため、約100万文字の入力上限が適用されるようになりました。⁶⁰ - 安全な devcontainer プロファイル（v0.121.0）： Docker devcontainer 向けの新しい強化済み顧客プロファイルでは、コンテナ内の sandbox に Bubblewrap を使用します。WSL2 はサポートされますが、WSL1 は明示的に拒否されます（Bubblewrap は WSL1 のカーネル shim と互換性がありません）。⁸² - Guardian レビューと hooks（v0.121.0）： Guardian サブエージェントの判断にツール実行前後の hooks が干渉しないよう、Guardian レビューセッション中は hooks が無効になります。⁸² ロギングや検証を hooks に依存している場合、Guardian レビューでは実行されない点に注意してください。完全な監査証跡が必要であれば、app-server の可観測性を利用してください。 - Linux の /dev ファイルシステム（v0.105.0）： Linux 上で sandbox 化されたコマンドに最小構成の /dev ファイルシステムが提供されるようになり、デバイスノードを前提とするツールとの互換性が向上しました。⁶¹

ReadOnlyAccess ポリシー（v0.100.0以降）： 読み取りアクセスを細かく制御できる設定可能なポリシー形式です。workspace-write モードでも、Codex が読み取れるディレクトリを制限するために使用できます。

[sandbox_workspace_write]
read_only_access = ["/etc", "/usr/local/share"]  # Only these paths readable outside workspace

レイヤー2：承認ポリシー（確認を求めるタイミング）

承認ポリシーは、Codex が処理を一時停止して人間の確認を求めるタイミングを決定します。

on-failure は古い例や互換性維持のための処理に引き続き登場しますが、現在の OpenAI 設定ドキュメントでは非推奨です。対話型の実行には on-request、外部の安全境界がすでに設けられている非対話型の実行には never を推奨します。⁸⁷

v0.150.0 以降、composer から権限モードを順番に切り替えるキーボードショートカットを割り当てられます。/keymap で設定してください。¹³²

個別の承認 ID（v0.104.0以降）

複数ステップのシェル実行では、各コマンドに個別の承認 ID が割り当てられるようになりました。これにより、承認を細かく制御できます。一連の処理に含まれる1つのコマンドを承認しても、同じシェル呼び出し内の後続コマンドが自動的に承認されることはありません。⁴⁹

柔軟な承認制御（v0.105.0以降）

承認フローで、追加の sandbox 権限と個別の拒否がサポートされるようになりました。⁶¹

• 追加の sandbox 権限：現在の sandbox モードを超えるアクセスがコマンドに必要な場合、モード全体の変更を求める代わりに、必要な追加権限だけをリクエストできます
• 個別の拒否：ツール呼び出しを個別に拒否し、フィードバックを与えられます。これにより、同じコマンドを単純に再試行するのではなく、Codex がアプローチを調整できます

実行時の権限リクエスト（v0.113.0以降）

モデルが実行時に追加権限をリクエストできる、組み込みの request_permissions ツールが追加されました。⁶⁹ 昇格されたアクセスが必要なタスクに直面した場合、暗黙的に失敗したり、別のフラグを指定して再起動するようユーザーに求めたりする代わりに、TUI の承認フローを通じて特定の権限（ファイルシステムのパス、ネットワークアクセスなど）を正式にリクエストできます。

アプリ承認モード writes（v0.144.0以降）

アプリとコネクタに、中間の承認レベルが追加されました。writes アプリ承認モードでは、アプリが宣言した読み取り専用の操作を確認なしで実行できる一方、書き込みを伴う操作では引き続き処理が一時停止します。¹⁰⁷ 以前のアプリ承認は「すべて許可」か「すべて確認」に近いものでしたが、writes は多くの運用者が統合機能に求める信頼モデル、つまり「見るのは自由、触る前には確認」に適合します。

自動レビューされる承認：--approve-for-me（v0.147.0以降）

新しい --approve-for-me CLI フラグは、承認プロンプトを自動レビューされる承認に変えます。処理を中断して確認を求める代わりに、各リクエストがレビュープロセスによって審査され、代理で承認または拒否されます。¹¹⁶ これは、「すべてを承認する」（現在は削除された --full-auto が促していた姿勢）と「すべての操作で中断する」の中間に位置します。プロンプトは判断ポイントとして残りますが、レビュアーが回答します。このフラグは、サイバー対応モデル向けに v0.146.1 で導入された、より安全な自動レビューのデフォルト設定を継承します。権限の委任として扱ってください。中断が停止につながる長時間の無人実行には適していますが、認証情報や本番環境の状態に触れ、自分自身でレビューしたいセッションには不向きです。

昇格されたターミナル入力の承認（v0.151.0。v0.158.0以降はデフォルトで有効）

write_stdin_approval 機能フラグは、v0.151.0 で導入された時点ではデフォルトで無効でしたが、v0.158.0 以降はデフォルトで有効です。昇格された unified-exec ターミナルへ空ではない入力を送信する前に、新たな承認を必要とします。これらのレビューは writeStdin 承認として hooks、Guardian、app server、TUI を経由します。ターミナルの環境、起動ディレクトリ、昇格状態はターンをまたいで維持され、承認後、バイトを書き込む前にプロセスの同一性が再検証されます。完全に整形されたアクションと承認理由は8,000バイト以内に収まる必要があります。サイズ超過または切り詰められたアクションは、承認が要求される前、かつターミナルに何かが到達する前に拒否されます。¹³⁵ v0.158.0 ではこのフラグが有効になり（#47799）、プラグインがメトリクスに使用するような実行時限定の権限付与ではレビューが発生しなくなりました。一方、追加のエージェント権限、sandbox の回避、起動後のポリシー変更では引き続き発生します（#48073）。無効にする方法： config.toml の [features] で write_stdin_approval = false を設定してください。¹⁷⁶

権限プロファイル（v0.113.0以降、v0.128.0およびv0.133.0で拡張）

権限プロファイルでは、ファイルシステムとネットワークの sandbox ポリシーを、名前付きで再利用可能なセクションに分割できます。default_permissions には、:read-only や :workspace などの組み込みプロファイルを指定するか、カスタムの [permissions.<name>] テーブルを指定します。⁸⁷ v0.133.0 では、プロファイルが管理対象の機能として昇格しました。list APIs で利用可能なプロファイルのメタデータを公開できるほか、プロファイル同士の継承、管理された requirements.toml での権限要件の宣言、実行時のアクティブプロファイル更新に対応しています。また、Windows sandbox の設定では、個別のアドホックなポリシーではなく、解決済みのプロファイルを使用するようになりました。⁹⁸

default_permissions = "project-safe"

[permissions.project-safe.filesystem]
"/usr/local" = "read"
glob_scan_max_depth = 3

[permissions.project-safe.filesystem.":project_roots"]
"." = "write"
"**/*.env" = "none"

[permissions.project-safe.network]
enabled = true
mode = "limited"

[permissions.project-safe.network.domains]
"api.github.com" = "allow"
"registry.npmjs.org" = "allow"

プロジェクトルートが書き込み可能な場合でも読み取らせたくない機密ファイルや glob には、none を使用してください。一度限りのコマンド例外には、プロファイルを広範囲に拡張するのではなく、ルールを使用することを推奨します。⁸⁷

v0.151.0： 復元された app-server スレッドでは、権限プロファイルが従来のターン単位の sandbox オーバーライドに平坦化されず、そのまま保持されるようになりました。プロファイルはターンのルーティングや互換性のある /cd によるディレクトリ変更をまたいで維持されます。復元されたプロファイルを従来の sandbox モードとして安全に表現できない /cd は、制限を暗黙的に弱めることなく拒否されます。¹³⁴

レガシーな --full-auto のガイダンス

古いガイドでは、--full-auto を次の便利なエイリアスとして説明していました。

codex --sandbox workspace-write --ask-for-approval on-request

v0.128.0 のリリースノートでは --full-auto が非推奨とされ、現在の CLI help では対話型の実行向けオプションとして掲載されていません。代わりに、上記の明示的なフラグまたは名前付きの権限プロファイルを使用してください。⁸⁶

v0.147.0 で削除が完了し、codex exec --full-auto は利用できなくなりました。 このフラグを渡し続けるスクリプトは、実行されずエラーになります。移行は機械的に行えます。--sandbox workspace-write に置き換え、従来の呼び出しが --full-auto の承認動作に依存していた場合は、承認フラグまたはプロファイルも追加してください。アップグレード前に、codex exec をシェルから呼び出すすべての自動化を監査しましょう。この問題は非推奨の警告ではなく、パイプラインの障害として現れます。¹¹⁶

Sandbox の信頼性（v0.129.0）： Linux の sandbox 起動処理が強化され、低速なファイルシステムやシンボリックリンクを使用したチェックアウトでの競合が軽減されました。Windows sandbox の信頼性向上により、長時間の実行で発生する複数のエッジケースのクラッシュにも対処しています。また、ベンダー提供の Bubblewrap は、上流のセキュリティパッチを含む 0.11.2 に更新されました。設定変更は不要です。これらを適用するには codex update を実行してください。⁸⁹

推奨設定

日常的な開発（安全なデフォルト）：

sandbox_mode = "workspace-write"
approval_policy = "on-request"

パワーユーザー向け（フルアクセス、人間による確認あり）：

sandbox_mode = "danger-full-access"
approval_policy = "on-request"   # `untrusted` retired in v0.149.0

コミュニティの記事では、この組み合わせが「最適なバランス」として推奨されています⁸。ただし、この助言をそのまま繰り返す前に、実際の動作を理解しておきましょう。コマンドが sandbox の外へ出る必要がある場合や、ネットワークへのアクセスが必要な場合に承認プロンプトが表示されますが、danger-full-access はこの両方の境界を取り除きます。そのため、on-request で昇格が必要になる場面はほとんど残りません。これは、すべてのコマンドを人間が確認する最大権限の設定ではなく、確認を最小限に抑えた最大権限の設定です。前者を求める場合は workspace-write を維持し、sandbox の境界で確認が行われるようにしてください。¹²³

CI/CD 自動化：

sandbox_mode = "workspace-write"
approval_policy = "never"

Guardian サブエージェントによるスマート承認（v0.115.0以降）

スマート承認では、操作ごとに人間の承認を求める代わりに、レビューリクエストを guardian サブエージェントにルーティングできます。guardian セッションは承認をまたいで維持されるため、プロンプトキャッシュを再利用でき、起動時のオーバーヘッドを回避できます。各レビューにはクリーンな履歴が与えられ、以前の判断が後続のレビューに漏れることはありません。⁷³

config.toml でレビュアーを設定します。

approvals_reviewer = "guardian_subagent"   # "user" (default) or "guardian_subagent"

これは、一律に approval_policy = "never" を設定するのではなく、推論を伴う自動レビューを行いたい CI/CD ワークフローで特に役立ちます。

Guardian v2 のデフォルト変更（v0.151.0）： Guardian v2 では、画像を含む computer-use レビューがデフォルトになりました。features.guardianv2.review_scope.computer_use_only のデフォルトは true です。より広範なツールレビューの範囲を維持するには false に設定してください。また、features.guardianv2.transcript.include_images のデフォルトも true です。Guardian のトランスクリプトに画像を含めたくない場合は false に設定してください。どちらも v0.150.0 では設定可能かつデフォルト無効の機能として導入され、v0.151.0 でデフォルトが有効になりました。¹³⁵

Guardian の適用範囲は承認モードに従う（v0.153.0）： 2つのモードでは、結果を変えられない Guardian の処理がスキップされるようになりました。Full Access（すでに approvalPolicy: "never" と無制限の権限が組み合わされた状態）では、確認のみを目的とする Guardian と MCP のリクエストが、同期レビュー、sampler の事前ウォームアップ、バックグラウンドのスコアリングなしで承認されます。保留中、失敗済み、または制限付きの環境は Full Access として扱われません。また、アクティブな権限状態はターンごとに再評価されるため、既存のスレッドでも Full Access へ安全に移行したり、そこから離れたりできます。User approval mode（approvals_reviewer = "user"）では、Guardian の事前ウォームアップと非同期スコアリングがスキップされ、通常の node_repl.js 実行確認は自動的に承認されます。一方、機密性の高い操作のチェックとユーザー入力のリクエストは、従来どおりに処理されます。¹⁴⁰ これは Guardian が実行されるタイミングを限定するものであり、人間による承認レイヤーを変更するものではありません。このガイドで説明している on-request 使用時の danger-full-access の確認動作は、別の仕組みである承認ポリシーによるものです。さらに v0.152.1 では、Guardian の承認レビューがモデルのメタデータ（auto_review.node_repl_policy）から Node REPL ポリシーを取得できるようになりました。このフィールドがない場合は、同梱のポリシーにフォールバックします。¹³⁹

Guardian の computer-use スコアリングはモデル要件に従う（v0.153.1）： computer-use 専用の Guardian スコアリングと高速な承認判断は、アクティブなモデルのメタデータで node_repl_auto_review_required が設定されている場合にのみ実行されるようになりました。モデルの切り替えによってスコアリングがスキップされた場合、以前のスコアや処理中のスコアは無効になります。そのため、レビュー対象のモデルに戻しても、古い承認判断が復活することはありません。これは v0.153.1 パッチの主要な変更ですが、リリース本文には記載されていません。#42422（38ba8cdc の cherry-pick）は、rust-v0.153.0…rust-v0.153.1 の比較でのみ確認できます。¹⁴²

Guardian による親スレッドの compaction 再利用はデフォルトで有効（v0.156.0）： #46522 により guardian_reuse_parent_compaction が安定版機能に昇格し、デフォルトで有効になりました。これにより、Guardian がレビューセッションを再起動するとき、親スレッドの暗号化された compaction を再利用できます。PR のテストによれば、親の履歴が変更された場合は、キャッシュ済みのレビューセッションが引き続き無効になります。以前の動作に戻す方法： config.toml の [features] で guardian_reuse_parent_compaction = false を設定するか、codex features disable guardian_reuse_parent_compaction を実行してください。¹⁶⁹¹⁷¹

Guardian のスレッドコンテキストはデフォルトで有効（v0.157.0）： #47275 により guardianv2.thread_context が安定版に昇格し、同期および非同期の Guardian レビューで有効になりました。これにより、レビューではスレッドが所有するコンテキストが使用されます。この機能は Guardian v2 の enabled トグルとは独立しています。v0.157.0 では [features.guardianv2] で thread_context = false を設定すれば無効にできましたが、v0.158.0 でこのオプションは削除されました。¹⁷⁴

Guardian のスレッドコンテキストは常に有効（v0.158.0）： #47686 と #47689 により、Guardian セッションのキャプチャとサブエージェントの履歴 fork では、スレッドが所有するコンテキストが無条件に使用されるようになりました。Codex は、プロファイルのオーバーライドや管理された要件を含め、[features.guardianv2] の thread_context を無視し、config.toml から削除するよう求める非推奨通知を表示します。代替となる無効化スイッチはありません。¹⁷⁶

Guardian は以前のユーザーメッセージを読み取り可能（v0.160.0、オプトイン）： Guardian がレビューするトランスクリプトでは、以前の指示、制約、または取り消された権限が省略されることがあります。[features] で guardian_conversation_history_tools = true を設定し、Apps を有効にすると、レビュアーは user_message.search_messages と user_message.read_messages という2つのツールを利用できます。これらは親セッション自身の Apps 接続と ID を通じて提供されます。呼び出しのたびに親の現在のアプリおよびツールポリシーが再確認され、無効なツールや承認が必要なツールではフェイルクローズになります。2つの [auto_review] キーで調整できます。conversation_history_max_output_tokens は各レスポンスの上限を設定します（デフォルトでは推定4,000トークン。親側の上限がより厳しい場合はそちらが引き続き適用されます）。experimental_conversation_history_prompt は組み込みの取得手順を置き換えます（空欄の場合はデフォルトを使用）。もう1つのオプトインフラグ guardian_root_handoff_context は、worker エージェントのレビューで使用するルート会話の証拠を、各ハンドオフ前後のメッセージと最新の3件に限定します。どちらのフラグも開発中で、デフォルトでは無効です。設定リファレンスにもまだ記載されていません。¹⁸²

[features]
guardian_conversation_history_tools = true

[auto_review]
conversation_history_max_output_tokens = 4000

PowerShell 分類処理の厳格化（v0.142.2）： 安全性分類器が検査できない実行可能な AST 領域を含む PowerShell コマンドは、自動承認をすり抜けることなく、承認が必要になりました。これにより、難読化された PowerShell や動的に構築された PowerShell が Windows 上で分類を回避できる問題が解消されました。¹⁰⁵

危険なコマンドの検出範囲を拡大（v0.144.5）： より多くの強制的な rm の形式を検出できるようになりました。また、拒否されたコマンドには不透明な拒否ではなく、より明確な拒否理由が返されます。承認ポリシーを調整するときに、コマンドがブロックされた理由を把握するうえで役立ちます。¹¹⁰

ネットワークアクセスの有効化

Codex は、workspace-write モードでネットワークアクセスをデフォルトでブロックします。必要に応じて有効にしてください。

# Per-run
codex -c 'sandbox_workspace_write.network_access=true' "install the packages"

# In config.toml
[sandbox_workspace_write]
network_access = true
writable_roots = ["/path/to/extra/dir"]   # Additional writable directories
exclude_slash_tmp = false                  # Prevent /tmp from being writable
exclude_tmpdir_env_var = false             # Prevent $TMPDIR from being writable

WebSocket プロキシのサポート（v0.104.0以降）

WebSocket の通信をプロキシ経由でルーティングする企業環境向けに、WS_PROXY および WSS_PROXY 環境変数がサポートされるようになりました。⁴⁹

export WSS_PROXY="https://proxy.corp.example.com:8443"
codex "update the README"

これらは、既存の HTTPS_PROXY および SOCKS5 プロキシのサポート（v0.93.0以降）を補完します。

v0.146.0 で「すべてのトランスポート層」への対応が実際に実現しました。 設定されたプロキシが、認証、プラグインのダウンロード、MCP の認可、リモート実行、WebSocket 接続、HTTP リダイレクト、LM Studio 接続のすべてで使用されるようになりました。変更履歴によれば、これら7つの経路では以前プロキシが無視されていました。¹¹⁴ v0.146.0 より前の Codex を企業プロキシの背後で実行し、通常のモデル呼び出しは機能するのにログインやプラグインのインストールが失敗していた場合、この欠落が原因である可能性が高いでしょう。

macOS のシステムプロキシ（v0.142.2以降）： respect_system_proxy を有効にすると、macOS の認証クライアントがシステムプロキシ、PAC、WPAD の設定に従います。これにより、プロファイル経由でプロキシ設定が配布される企業の Mac では、認証通信のためにシェルごとのプロキシ環境変数を設定する必要がなくなりました。¹⁰⁵ v0.143.0 以降、この機能は Windows と Responses API の通信にも拡張されています。 Codex は、認証と Responses API の呼び出しの両方を、PAC および WPAD の自動設定を含む macOS または Windows のシステムプロキシ経由でルーティングします。これにより、どちらの OS でも厳しく制限された企業ネットワークに残っていた最後の問題が解消されました。¹⁰⁶

Sandbox のテスト

sandbox を信頼する前に、動作を検証してください。

codex sandbox macos --permissions-profile :workspace -- ls /etc/passwd   # macOS test
codex sandbox linux --permissions-profile :workspace -- cat /etc/shadow  # Linux test

sandbox が正しく機能していれば、ワークスペースに限定されたプロファイルでは、どちらのコマンドも権限拒否エラーで失敗するはずです。いずれかのコマンドが成功した場合は、sandbox の設定を調査する必要があります。

AGENTS.md の仕組み

AGENTS.md は Codex のプロジェクト指示システムです。現在は Linux Foundation の Agentic AI Foundation が管理するオープン標準⁹であり、Codex、Cursor、Copilot、Amp、Jules（Google）、Gemini CLI、Windsurf、Cline、Aider、Zed、Factory、RooCode、および 60,000 を超えるオープンソースプロジェクトでサポートされています。特定のリポジトリやディレクトリ内で Codex がどのように動作するかを定義します。AGENTS.md を補完する再利用可能な専門知識パッケージについては、skillsをご覧ください。

検出階層

Codex はセッション開始時にディレクトリツリーをたどり、指示チェーンを構築します。

1. グローバル（~/.codex/）：AGENTS.override.md > AGENTS.md
2. プロジェクト（git ルートから現在のディレクトリまで）：各階層で AGENTS.override.md > AGENTS.md > フォールバックファイル名の順に確認
3. マージ：ファイルはルートから下位へ連結されます。現在のディレクトリに近いファイルほどプロンプトの後ろに配置され、先にある指示を上書きします

~/.codex/AGENTS.md                     ← Global defaults
  └─ /repo/AGENTS.md                   ← Project-wide rules
      └─ /repo/services/AGENTS.md      ← Service-specific rules
          └─ /repo/services/payments/
               AGENTS.override.md      ← Overrides everything above for this dir

信頼されていないプロジェクトではプロジェクトの AGENTS.md をスキップ（v0.150.0）： 上記の走査は、プロジェクトが信頼されていることを前提としています。v0.150.0 以降、「信頼されていないプロジェクトはプロジェクトレベルの AGENTS.md 指示を提供しなくなり、権限の変更後も管理された読み取り拒否ルールが引き続き適用されます」。つまり、プロジェクトスコープの検出はスキップされる一方、ユーザーレベルの ~/.codex/AGENTS.md の指示は維持されます。そのため、信頼する前のチェックアウトから動作規約を注入されることはありません。¹³²

デスクトップの複数フォルダープロジェクト（26.715、2026年7月23日）： 上記の走査は CLI の動作を示しており、すべてが現在の作業ディレクトリを基準に解決されます。ChatGPT デスクトップアプリでは、関連する複数のフォルダーを1つのローカルプロジェクトに含められるようになりました。ただし、検出の基準となるのはそのうちの1つだけです。「新しいチャット、Git 操作、AGENTS.md、skills、config.toml の自動検出では、プライマリフォルダーが使用されます。セカンダリフォルダーも、ファイルの検索、読み取り、編集には引き続き利用できます」。プロジェクトメニューの プロジェクトを編集 から、プライマリにするフォルダーを選択できます。¹¹³

この1つの設定が、Codex の5つの中核システムのうち3つを同時に制御します。指示、skills、設定は、すべてプライマリフォルダーに従います。実際には、セカンダリフォルダー内の AGENTS.md は Codex が開けるファイルにすぎず、読み込まれる動作規約ではありません。ルールを含むリポジトリを2番目に追加した場合は、それをプライマリに昇格させるか、そのルールをプライマリフォルダーの AGENTS.md に改めて記載してください。自動検出を想定していたリポジトリ内の skill フォルダーにも同じことが当てはまります。CLI のディレクトリ走査自体は何も変わっていません。これはデスクトップアプリにおけるプロジェクトスコープの仕様です。

優れた AGENTS.md の条件

Codex 自体による直接的なガイダンスとコミュニティのパターン¹⁰に基づきます。

推奨： - 具体的に書く："Use rg --files for discovery" は "search efficiently" より明確です - 完了条件を定義する：「完了」とは何を意味するのかを示します（テスト合格、lint エラーなしなど） - コマンドを含める：ビルド、テスト、lint、フォーマットの正確な実行方法を記載します - タスク別に整理する：コーディング、レビュー、リリース、インシデント／デバッグのセクションに分けます - エスカレーション方法を定義する：行き詰まった場合や予期しない状態に遭遇した場合の対応を示します

非推奨： - 実行ルールを伴わないスタイルガイド全体の貼り付け - 曖昧な指示（「注意する」「最適化する」） - 矛盾する優先事項の混在（速度重視＋網羅的な検証＋実行時間の余裕なし） - 説明用の文章を書くこと（AGENTS.md は運用ポリシーであり、README ではありません）

例：本番環境向け AGENTS.md

# Repository Guidelines

## Build, Test, and Development Commands
- Run API (dev): `python3 -m uvicorn main:app --reload`
- Install deps: `pip install -r requirements.txt`
- Lint: `python3 -m ruff check .` (auto-fix: `--fix`)
- Format: `python3 -m ruff format .`
- Tests: `python3 -m pytest -v`
- Coverage: `python3 -m pytest --cov=app --cov-report=term-missing`

## Coding Style & Naming Conventions
- Python 3.11+. Type hints on all functions.
- Ruff enforced: 88-char lines, double quotes, spaces for indent.
- Naming: modules `snake_case.py`, classes `PascalCase`, functions `snake_case`.

## Commit & Pull Request Guidelines
- Conventional Commits: `feat:`, `fix:`, `docs:`, `refactor:`, `chore:`, `test:`
- Commits should be small and focused.
- PRs must include: description, test plan, and screenshots for UI changes.

## Security
- Never commit secrets. Use `.env` for local config.
- Validate all external API calls with proper error handling.

エージェントセッションでのシークレットの取り扱い

ソースコードだけでなく、Codex から参照できる履歴もセキュリティ上の対象として扱ってください。Codex のリリースノートには、シェルのスナップショット取得や環境変数の秘匿化に関する取り組みが記載されています。また、メモリーシステムはメモリーへの書き込みにシークレットが含まれていないかスキャンします。しかし、こうした保護機能があっても、コマンド出力、セッショントランスクリプト、シェルスナップショット、ローカルログ、ヘルパースクリプトが認証情報を出力しても安全な場所になるわけではありません。³⁷⁵⁵⁹⁵

運用ルールは単純です。モデルに確認させる目的でシークレットを出力しないでください。ヘルパー用の認証情報は環境側で必要とされる設定に保持します。監査時には、実行可能なソース、ドキュメント、生成キャッシュ、セッショントランスクリプト、シェルスナップショット、ログ、意図的なシークレット保管場所を分離してください。確度の高いシークレット形式が見つかった場合はローカル履歴から秘匿化し、手動の衛生管理ループが実証されてから予防用 hooks を導入します。公開すべき知見は、対象領域の整理と受け入れ基準です。非公開のトークン値、正確なパス、検出処理の内部実装ではありません。⁹⁵

オーバーライドの仕組み

各ディレクトリ階層の AGENTS.override.md は、そのスコープにおける通常の AGENTS.md を置き換えます。次のような場合に使用します。

• リリース凍結：「新機能は禁止、修正のみ」
• インシデントモード：「すべての変更についてオンコール担当者のレビューが必要」
• 一時的な強化：「今スプリントでは依存関係を更新しない」

設定

# Custom fallback filenames (in addition to AGENTS.md)
project_doc_fallback_filenames = ["TEAM_GUIDE.md", ".agents.md"]

# Increase max size for large instruction files
project_doc_max_bytes = 65536    # 64 KiB (default: 32 KiB)

スキャフォールドの生成

codex                           # Launch TUI
/init                           # Generate AGENTS.md scaffold

または、指示チェーンを確認します。

codex --ask-for-approval never "Summarize your current instructions"

Hooks

Codex では、v0.99.0 と v0.100.0 で従来の AfterAgent および AfterToolUse という名前の hooks が導入されました。v0.114.0 では SessionStart と Stop を備えた試験的な hooks エンジンが追加され⁷⁰、v0.124.0（2026年4月23日）で安定版となりました。⁸⁵ rust-v0.150.0 に搭載されたエンジンには、12個のイベント（codex-rs/hooks/src/lib.rs の HOOK_EVENT_NAMES）が登録されています。v0.149.1 の時点では11個でしたが、v0.150.0 で12個目となる Interrupt が追加されました。¹³² 従来の名前は設定可能な項目から削除されています。AfterToolUse はソースツリーのどこにも存在せず、AfterAgent は従来の notify ブリッジにおける内部ペイロード名としてのみ残っています。¹²⁴ Hooks はエージェントループ中にスクリプトまたは MCP ツールを実行します。複数のファイルにある一致した hooks はすべて実行され、1つのイベントに一致する複数の command hooks は同時に起動します。また、管理対象外の hook は、実行前にすべて確認して信頼する必要があります。¹²⁴ v0.148.0 ではエンジンが拡張され、hooks でコマンドを非同期に実行したり、MCP ツールを呼び出したりできるようになりました。command ハンドラーに async = true を設定すると、Codex の処理を継続しながらバックグラウンドで実行できます。また、mcp_tool ハンドラーを使用すれば、エージェントと同じ MCP servers にアクセスできます。¹¹⁸¹²⁴

利用可能な Hook イベント

WebSearch などのホスト型ツールは hook の実行経路を通りません。また、一部の特殊なツール経路では hook を適用しないようにできます。OpenAI 自身は、これを「有用なガードレールではあるものの、完全な強制境界ではない」と説明しています。¹²⁴

Hook の設定

Hooks は、イベント、matcher グループ、1つ以上のハンドラーという3階層で構成されます。設定は hooks.json（~/.codex/hooks.json、<repo>/.codex/hooks.json、またはプラグインの hooks/hooks.json）に記述するか、config.toml および requirements.toml にインラインで記述します。プロジェクトローカルの hooks は、プロジェクトの .codex/ レイヤーが信頼されている場合にのみ読み込まれます。¹²⁴ インライン TOML の形式は次のとおりです。

# ~/.codex/config.toml or <repo>/.codex/config.toml
[[hooks.SessionStart]]
matcher = "startup|resume"

[[hooks.SessionStart.hooks]]
type = "command"
command = "python3 ~/.codex/hooks/session_start.py"
additionalContextLimit = 5000

[[hooks.PreToolUse]]
matcher = "^Bash$"

[[hooks.PreToolUse.hooks]]
type = "command"
command = '/usr/bin/python3 "$(git rev-parse --show-toplevel)/.codex/hooks/pre_tool_use_policy.py"'
timeout = 30
statusMessage = "Checking Bash command"

[[hooks.PostToolUse]]
matcher = "^Bash$"

[[hooks.PostToolUse.hooks]]
type = "command"
command = "python3 ~/.codex/hooks/post_tool_use_review.py"
async = true
timeout = 120

ハンドラーのフィールドは、type（command または mcp_tool。prompt および agent ハンドラーは解析されますがスキップされます）、command、秒単位の timeout（デフォルトは600秒。SessionEnd は1秒で、上限は3秒）、statusMessage、additionalContextLimit（Codex が全文をディスクに保存してプレビューを送信する前に、additionalContext のうちモデルへ渡す量）、commandWindows（Windows 専用のオーバーライド）、async です。コマンドの作業ディレクトリにはセッションの cwd が使用されます。そのため、リポジトリローカルの hooks では、相対的な .codex/hooks/... パスではなく、git rev-parse --show-toplevel を基準にパスを解決してください。¹²⁴

確認と信頼。 Codex は、管理対象外の各 hook について、現在のハッシュに対する信頼状態を記録します。新規または変更された hooks は要確認とされ、信頼されるまでスキップされます。/hooks を実行すると、hook の提供元を確認し、内容を精査して信頼したり、個別の hook を無効化したりできます。起動時に確認が必要な hooks がある場合、Codex は /hooks を案内する警告を表示します。システム、MDM、クラウド、または requirements.toml 由来の管理対象 hooks は、ポリシーによって信頼されており、ユーザー向け hook ブラウザーから無効化することはできません。--dangerously-bypass-hook-trust を使用すると、hook の提供元を別の場所で検証する自動化向けに、永続的な信頼を記録せず、その1回の実行に限って有効な hooks を実行できます。¹²⁴

SessionStart hook の stdout はモデルのコンテキストに取り込まれるため、セッション開始時に日付、ブランチ名、環境変数などの動的情報を注入する用途に適しています。

Claude Code の Hook パターンを再現する

Codex が実装しているイベントには Claude Code と同じイベント名が使われています。そのため、ほとんどの hook 設定は、JSON を hooks.json に移し、/hooks から信頼することで移行できます。

エキスパート向けのヒント： 新しい hook イベントは今後のリリースでも追加されます。v0.150.0 では Interrupt イベントが追加されました（¹³²）。最新の一覧については、codex-rs/hooks/src/lib.rs の HOOK_EVENT_NAMES と Codex changelog を確認してください。

TUI 内の hook ブラウザー（v0.129.0）： TUI で /hooks を実行すると、利用可能な hooks を確認し、現在どれが有効かを把握したうえで、config.toml を編集せずに個別の hook を切り替えられます。プラグインに同梱された hook の問題を調査する場合や、編集に集中する間だけ PostToolUse linter を一時的に無効化する場合に便利です。⁸⁹

MCP（Model Context Protocol）とは？ [EXPERIMENTAL]

MCPは、外部のツールやサービスに接続することでCodexの能力を拡張します。codex mcp コマンド群は現在実験的と位置づけられており、コマンドや設定フォーマットはリリース間で変更される可能性があります。Codexは2種類のトランスポートに対応しています。STDIO（ローカルプロセス）とStreamable HTTP（リモートサーバー）です。¹¹

v0.121.0のMCP変更点: ツールは名前空間付きで登録されるようになり、一覧上のツール名は素の名前ではなく <server>:<tool> の形式で表示されます。修飾されていないツール名をgrepしているスクリプトやプロンプトは更新してください。新たに supports_parallel_tool_calls フラグが対象のMCPsへ引き渡され、対応を宣言したサーバーでは並列実行が可能になります。サンドボックスの状態メタデータもMCPツールのメタデータ経由で流れるようになったため、サーバー側が挙動を調整できます（例：read-onlyサンドボックス下での実行を警告する）。独自リクエストの codex/sandbox-state は削除されました。今後はメタデータ経路を使ってください。MCP Appsロールアウトのフェーズ3もここで到達し、ツール呼び出しに対応。deferred-callパターンを使うサーバー向けに、フラット化されたdeferredツール呼び出しもサポートされます。⁸²

v0.142.2のMCP変更点（2026年6月25日）: MCPツールは対応環境ではツール検索がデフォルトになりました。すべてのツール定義を事前に読み込むのではなく、Codexが必要に応じてツールを発見する方式です。ツール数の多い構成での発見性が向上しつつ、旧来のモデルやプロバイダーとの互換性も保たれます。また、リモートstdioのMCPサーバーは、リモートプラットフォームのパス形式で書かれた絶対作業ディレクトリも受け付けます（macOSクライアントからWindows形式のパス、またはその逆）。¹⁰⁵

v0.147.0のMCP変更点（2026年8月7日）: CodexにMCP 2026-07-28プロトコル改訂版へのオプトイン対応が追加されました。ページネーション付きの検出（巨大なツールカタログは1つの過大な一覧ではなくページ単位でストリーミングされます）、マルチラウンドリクエスト（サーバーが1つの論理リクエスト内で複数ステップのやり取りを保持できます）、そしてノンブロッキングなサーバー起動です。キャッシュ済みのMCPツールはサーバーの起動完了前に公開されるため、起動の遅いサーバーがセッション開始を止めることはなくなりました。オプトイン方式なので、旧改訂版のサーバーはそのまま動作します。¹¹⁶

v0.151.0のMCP変更点（2026年8月29日）: オプション扱いのMCPサーバーに設定可能な起動猶予時間が加わりました。mcp_optional_startup_grace_ms（デフォルト1,000ミリ秒）は、ツールカタログの取得がオプションサーバーをどれだけ待つかを制御します。0 にすると共有の猶予が無効になり、オプションサーバーは設定済みの startup_timeout_sec にフォールバックします。更新した値は実行中およびMCP設定の再読み込み時に適用されます。拡張機能からMCPツールの結果を検査または差し替えることもできます。ToolLifecycleContributor::on_mcp_tool_result は、MCPの完了が公開される前、かつ結果がモデル向けに整形される前に実行され、成功・エラーいずれの結果でも、Code Mode経由でも動作します。¹³⁴

v0.152.0のMCP変更点（2026年9月1日）: 追加的な変更が3点あります。openai/elicitation フォームリクエストが到着しました。クライアントがオブジェクト値の form ケーパビリティを宣言するとCodexはフォーム対応を通知し、openai/elicitation/create リクエストを処理して、そのメタデータと不透明なスキーマをapp server経由で openaiForm として転送します（x-openai-* アノテーションは保持されます）。従来の openai/form の処理は独立したまま残り、TUIはレンダリングできないフォームリクエストを自動的に拒否します。ツール単位の出力上限: MCPサーバーの tools 設定配下の各エントリは、正の output_token_limit を受け付けます（例：[mcp_servers.context7.tools.search] に output_token_limit = 2000）。プラグインとユーザーのポリシーが重なる場合は最も厳しい上限が優先され、実効値は会話履歴に引き継がれるため、ツール出力、post-toolフックの応答、再開したセッションのいずれも同じ上限で切り詰められます。グローバルな tool_output_token_limit と併存する追加機能です。パッケージ形式のサーバー名: MCPサーバー名に :、@、/、. を含められるようになりました（npm:@modelcontextprotocol/server-sequential.thinking は正当な名前です）。この名前は mcp add/get/list/remove、実行時のツール名前空間、OAuthの資格情報検索をまたいで保持され、生成される config.toml の復旧ヒントでは素の名前でないものが引用符で囲まれます。¹³⁸

MCPサーバーの設定

STDIOサーバー（ローカルプロセス）:

# In ~/.codex/config.toml or .codex/config.toml

[mcp_servers.context7]
enabled = true
required = true                         # Fail startup if unavailable
command = "npx"
args = ["-y", "@upstash/context7-mcp"]
env = { "MY_VAR" = "value" }            # Static env vars
env_vars = ["PATH", "HOME"]             # Forward host env vars
cwd = "/path/to/project"                # Optional working directory
startup_timeout_sec = 10
tool_timeout_sec = 60
enabled_tools = ["search", "summarize"]  # Tool allowlist
disabled_tools = ["slow-tool"]           # Tool denylist

HTTPサーバー（リモート）:

[mcp_servers.figma]
enabled = true
url = "https://mcp.figma.com/mcp"
bearer_token_env_var = "FIGMA_OAUTH_TOKEN"
http_headers = { "X-Figma-Region" = "us-east-1" }
env_http_headers = { "X-Org-Id" = "FIGMA_ORG_ID" }  # Headers from env vars
startup_timeout_sec = 10
tool_timeout_sec = 60

CLIの管理

codex mcp add context7 -- npx -y @upstash/context7-mcp
codex mcp add context7 --env API_KEY=... -- npx -y @upstash/context7-mcp   # With env vars
codex mcp add figma --url https://mcp.figma.com/mcp --bearer-token-env-var FIGMA_OAUTH_TOKEN
codex mcp list                          # List all configured servers
codex mcp list --json                   # JSON output
codex mcp get context7                  # Show server config
codex mcp get context7 --json           # JSON output
codex mcp login <server>                # OAuth flow for HTTP servers
codex mcp logout <server>               # Remove OAuth credentials
codex mcp remove <server>               # Delete server definition

セッション中は /mcp で稼働中のサーバーと利用可能なツールを確認できます。/mcp verbose（v0.123.0+）⁸⁴ はサーバーの詳細な診断情報、リソース、リソーステンプレートを返します。サーバーの読み込みに失敗しているときや、ツールが想定した場所に現れないときに役立ちます。素の /mcp は高速なままです。v0.144.0 以降、MCPツールは実験的なオプトインなしで対話的に認証を要求できます。セッション途中で認証が必要になったサーバーは、codex mcp login で事前認証するまで失敗するのではなく、通常のフローでプロンプトを出します。¹⁰⁷

プラグインのMCP読み込み（v0.123.0+）は、標準の mcpServers スキーマと .mcp.json のトップレベルのサーバーマップの両方を受け付けるため、どちらの流儀で書かれたプラグインも問題なく読み込めます。⁸⁴

MCPのユーザー検証（v0.155.0、対応Mac）: 対応MacのローカルTUIセッションでは、MCPリクエストをTouch IDで検証し、Secure Enclaveで署名できます（#43624、#43712、#43715）。検証用のアイデンティティは登録したワークスペースに限定され（#43524）、検証結果はMCPツールの継続処理へネイティブに引き継がれます（#44346）。v2.68の昇格チェックリストで初めて監視対象となり、alpha.7クラスターと共に0.154.0から外れ、0.155.0で出荷されました。¹⁵⁶

CodexをMCPサーバーとして実行する

削除されました（v0.154.0、2026年9月9日）。 codex mcp-server コマンドと単体バイナリの codex-mcp-server は、stable 0.154.0（#42993）をもって廃止され、2026年8月24日の非推奨化が完了しました。公式チェンジログ（2026年9月5日）はこう述べています。「codex mcp-server コマンドと単体の codex-mcp-server バイナリは、2026年8月24日の非推奨化を経て削除されました。いずれかのコマンドを起動している統合は、Codexをアップグレードする前に更新してください。」統合先としては app-serverプロトコル（VS Code拡張機能とデスクトップアプリの背後にあるインターフェース。認証、会話履歴、承認、ストリーミングされるエージェントイベントを扱います）を狙うべきです。ただし削除の告知自体がこれを実験的であり「本番ワークロードではサポートされない」と明記しています。あるいはClaude Code側からは Claude Code向けCodexプラグイン があります。「Claude CodeからCodexを使ってコードをレビューしたり、タスクを委譲したりできます。」Codexを外部のMCPサーバーへ接続する側（codex mcp ...、/mcp）は影響を受けません。^125152153

CLI 0.153.4以前ではこのコマンドはまだ存在します（2026年8月24日に非推奨化。v0.149.0以降は warning: `codex mcp-server` is deprecated and will be removed in a future release. をstderrへ出力したうえで起動します、PR #39657）。統合をすぐに移行できない場合は、npm install -g @openai/codex@0.153.4 でピン留めするのが応急策になります:^12125148152

codex mcp-server                        # REMOVED in 0.154.0; works only on 0.153.x and earlier (deprecated, warns)

0.153.x以前では、サーバーは2つのツールを公開します: 1. codex(): プロンプト、サンドボックス、モデル、承認のパラメーターを指定して新しいセッションを開始します 2. codex-reply(): threadId とプロンプトで既存のセッションを継続します

Agents SDK（Python）と併用する場合 – CLI 0.153.4以前のみ:

from agents import Agent, Runner
from agents.mcp import MCPServerStdio

async with MCPServerStdio(
    name="Codex CLI",
    params={"command": "npx", "args": ["-y", "@openai/codex@0.153.4", "mcp-server"]},  # pin: removed in 0.154.0
    client_session_timeout_seconds=360000,
) as codex_mcp_server:
    agent = Agent(name="Developer", mcp_servers=[codex_mcp_server])
    result = await Runner.run(agent, "Fix the failing tests")

注目のMCPサーバー

実践パターン

パターン1: コンテキストを踏まえた開発 — Context7を自分のフレームワークのドキュメントと組み合わせ、Codexが常に最新のAPIリファレンスを参照できるようにします:

[mcp_servers.context7]
enabled = true
required = true
command = "npx"
args = ["-y", "@upstash/context7-mcp"]

パターン2: 出力の上限 — MCPツールのレスポンスはデフォルトで約25K文字に切り詰められます。大きなペイロードを返すツール（データベースクエリ、ログ取得など）では、enabled_tools で特定のツールに絞り込み、レスポンスを要点に保ちましょう。

パターン2a: マルチモーダルなツール出力（v0.107.0） — カスタムツールはテキストと併せてマルチモーダルな出力（画像、リッチコンテンツ）を返せるようになりました。これにより、スクリーンショットや図、チャートのレンダリングといった視覚的な成果物を生成するツールが、それらを直接モデルへ渡して分析させられます。⁶²

パターン3: エンタープライズにおけるMCPガバナンス — requirements.toml で開発者が使えるMCPサーバーを制限します:

# In /etc/codex/requirements.toml — only approved servers allowed
[mcp_servers.approved-internal]
identity = { command = "npx @company/internal-mcp" }

requirements.toml のアイデンティティに一致しないサーバーは、起動時にブロックされます。ポリシー設定の全体像は エンタープライズ展開 を参照してください。

Code Mode [EXPERIMENTAL]

Code mode（v0.114.0）は、エージェントの対象範囲をコード中心の操作に制限することで、より分離されたコーディングワークフローを提供します。⁷⁰ 有効にすると、より広範なシステム操作を行わず、コードの読み取り、書き込み、テストに集中します。

v0.139.0以降、code modeでは、ネストされた JavaScript ツール呼び出しからも含め、スタンドアロンのウェブ検索を直接呼び出せるようになり、結果をプレーンテキストで受け取ります。これにより、サンドボックス化されたコーディングコンテキストを離れることなく、最新情報を取得できます。¹⁶⁵ v0.146.0ではスタンドアロンのウェブ検索が互換性のあるカスタムモデルプロバイダーにも拡張され、この機能はOpenAIがホストするモデルだけに限定されなくなりました。¹¹⁴

v0.146.0では、app-serverがリモートのCode Modeホストへ接続できるようになり、code modeランタイムをクライアントと同じマシン上で動かす必要がなくなりました。当初は WebSocket が使用されていました。¹¹⁴ v0.151.0では WebSocket トランスポートが削除されています（#40692）。app serverの --code-mode-host 接続で受け付けるのは、http:// および https:// のgRPCエンドポイントだけです。また、スタンドアロンのcode-modeホストで使用できるのはstdioとgRPCリスナーに限られます。タグrust-v0.151.0時点のリスナーのドキュメントには、原文どおり「Transport endpoint: stdio, stdio://, or grpc://IP:PORT.」と記載されています。WebSocket は、トレース用のraw OTLPトレースバッチをストリーミングするオプションのエンドポイントとしてのみ残されており、セッショントランスポートとしては使用されません。¹³⁵

この機能は実験段階です。最新情報はリリースノートをご確認ください。

JavaScript REPLランタイム [REMOVED]

Codex v0.100.0では、実験的な JavaScript REPLランタイム（js_repl）が追加され、v0.106.0では /experimental から利用できるようになりました。⁶⁰ ただし、この案内は現在では過去のものです。v0.128.0のリリース変更履歴には「Remove js_repl feature」と記載され、現在の機能一覧では js_repl と js_repl_tools_only の両方が削除済みとされています。⁸⁶

新しい設定に features.js_repl = true を追加しないでください。繰り返し実行できるロジックが必要な場合は、シェルコマンド、リポジトリにコミットされたスクリプト、MCP ツール、または scripts/ ディレクトリを備えたCodex skillを使用します。

skillsとは？

skillsは、Codexが必要に応じて読み込む、再利用可能なタスク専用の機能パッケージです。オープンなagent skills標準に準拠しています。¹³

skillの構造

my-skill/
  SKILL.md           (required: instructions)
  scripts/           (optional: executable scripts)
  references/        (optional: reference docs)
  assets/            (optional: images, icons)
  agents/openai.yaml (optional: metadata, UI, dependencies)

検出場所

Codexは、ユーザーがインストールしたskillsを $CODEX_HOME/skills（デフォルト：~/.codex/skills）に保存します。.system/ 配下の組み込みsystem skillsもここに含まれます。シンボリックリンクされたskillフォルダーにも対応しています。

skillの作成

SKILL.mdの形式：

---
name: security-audit
description: Run a thorough security audit on the codebase.
---

## Security Audit Procedure

1. Scan for hardcoded secrets using `rg -i "(api_key|password|secret|token)\s*=" --type py`
2. Check for SQL injection: look for string interpolation in queries
3. Verify input validation on all API endpoints
4. Check dependency vulnerabilities: `pip audit` or `npm audit`
5. Review authentication and authorization patterns
6. Report findings with severity levels (Critical/High/Medium/Low)

メタデータ（agents/openai.yaml）：

interface:
  display_name: "Security Audit"
  short_description: "Full codebase security review"
  icon_small: "./assets/shield.svg"
  brand_color: "#DC2626"
  default_prompt: "Run a security audit on this repository"

policy:
  allow_implicit_invocation: false    # Require explicit $skill

dependencies:
  tools:
    - type: "mcp"
      value: "snyk"
      transport: "streamable_http"
      url: "https://mcp.snyk.io/mcp"

skillsの呼び出し

• 明示的：/skills メニュー、またはプロンプト内での $skill-name の指定
• 暗黙的：Codexがタスクの説明から一致するskillsを自動検出（allow_implicit_invocation: true の場合）
• Creator：$skill-creator を使用して、新しいskillを対話形式で作成
• Installer：$skill-installer install <name> を使用して、コミュニティのskillsをインストール
• Executor提供（v0.146.0）：Codexはexecutorが提供するskillsを検出し、明示的に選択したskillsを含め、関連リソースを読み込みます¹¹⁴

コンテキストの上限により、skillカタログが切り詰められる場合があります。 v0.146.0では、コンテキストが限られている場合でも、より多くの利用可能なskillsが保持され、カタログを切り詰める必要がある場合は警告が表示されます。¹¹⁴ 以前は、大規模なskillライブラリが通知なく削減され、利用できるはずのskillが提示されないことがありました。多数のskillsで暗黙的な呼び出しを利用する場合は、この警告に注意してください。

有効化／無効化

[[skills.config]]
path = "/path/to/skill/SKILL.md"
enabled = false

skillsとslash commandsの違い

skillsのデバッグ

skillが有効にならない場合：

1. 検出を確認：TUIの /skills に表示されるか確認します
2. パスを確認：skillフォルダーが認識される場所（~/.codex/skills/、プロジェクトルート、または /etc/codex/skills/）にあることを確認します
3. enabled を確認：config.tomlで enabled = false に設定されたskillsは読み込まれません
4. 暗黙的な有効化を確認：自動検出を利用する場合は、agents/openai.yaml に allow_implicit_invocation: true が設定されていることを確認します
5. キーワードを使用：暗黙的な一致の精度を高めるには、skillの description に含まれる語句をプロンプトに加えます

実践例：デプロイ用skill

参照資料とスクリプトの連携を示す、複数ファイルで構成された完全なskillです。

deploy-skill/
  SKILL.md
  references/
    runbook.md
    rollback-checklist.md
  scripts/
    pre-deploy-check.sh
    smoke-test.sh
  agents/openai.yaml

SKILL.md：

---
name: deploy
description: Deploy the application to staging or production. Runs pre-flight checks, executes deployment, and verifies with smoke tests.
---

## Deployment Procedure

### Pre-flight
1. Run `scripts/pre-deploy-check.sh` to verify:
   - All tests pass
   - No uncommitted changes
   - Branch is up to date with remote
2. Review the runbook at `references/runbook.md` for environment-specific steps.

### Deploy
3. Execute the deployment command for the target environment.
4. Monitor logs for errors during rollout.

### Verify
5. Run `scripts/smoke-test.sh <environment-url>` to confirm critical paths.
6. If smoke tests fail, follow `references/rollback-checklist.md`.

呼び出し例：$deploy to staging または $deploy production with canary rollout

Plugins

Plugins は、skills、MCP エントリ、hooks、アプリコネクターを、単一のインストール可能なパッケージにまとめます（v0.110.0以降）。⁶⁵ v0.117.0以降、Plugins は正式な機能として扱われています。製品スコープの Plugins は起動時に自動同期され、/plugins では、検索と管理のための TUI 内ブラウザーを利用できます。⁷⁵ v0.128.0では、マーケットプレイスからのインストール、リモートバンドルのキャッシュ、リモートアンインストール用 API、Plugin に同梱された hooks、hook の有効化状態、外部エージェント設定のインポートが追加され、Plugin のワークフローが拡充されました。⁸⁶ v0.129.0（2026年5月7日）では、Plugin のワークスペース共有（再公開せずに Plugin セットをチームメイトへプッシュ）、共有アクセス制御（受信者ごとの有効化／無効化、アクセス権の取り消し）、ソースフィルタリング（ワークスペースが取得するマーケットプレイスを制限）、および CLI を使わずに /plugins ブラウザーから直接実行できるマーケットプレイス操作が追加されました。⁸⁹ v0.133.0（2026年5月21日）では、Plugin の検索結果を監査しやすくなりました。リスト出力でマーケットプレイスを識別できるようになり、インストール済みのバージョンとマーケットプレイスのルートが表示されます。また、検索結果の取得元レジストリを推測しなくても、リモートの Plugin コレクションを確認できます。⁹⁸ v0.130.0（2026年5月8日）では、Plugin のパッケージ内容がより明確になり、共有ワークフローを細かく制御できるようになりました。⁹¹

• Plugin の詳細に同梱 hooks を表示。 /plugins の詳細ビューに、Plugin に同梱されているすべてのライフサイクル hook（SessionStart、UserPromptSubmit、Stop など）が表示されるようになりました。Plugin をインストールする前に、セッションへ登録される hooks を正確に確認できます。ツールだけを見て信頼した Plugin によって、予期しない hook の副作用が生じる心配はありません。
• shareContext 内の Plugin 共有メタデータ。 ワークスペースから Plugin を共有すると、共有リンクのペイロードにリンクのメタデータ（作成者、スコープ、鮮度）が含まれるようになりました。これにより、受信側のセッションで出所を表示し、受け入れるかどうかを判断できます。
• 共有設定の検出可能性コントロール。 共有設定には検出可能性の切り替えが用意されています。組織全体の一覧に公開することなく、特定のワークスペースや受信者リストに限定して Plugins を公開できます。

v0.143.0（2026年7月8日）では、リモート Plugins がデフォルトで有効になりました。 リモート Plugins をオプトイン用フラグなしで利用できるようになり、/plugins カタログの行には、git やローカルに加えて npm マーケットプレイスのソースなど、より詳しい情報が表示されます。また、各エントリにリモート版とローカルにインストール済みの版の両方が表示されるため、バージョンのずれをひと目で確認できます。¹⁰⁶ 共通の Plugin セットをチーム標準として採用する場合、リモートがデフォルトで有効になったことで、従来は展開の障壁となっていたマシンごとの有効化作業が不要になります。

Plugin のソース

v0.147.0以降は、1回のクエリでローカル、個人、ワークスペース、リモートの各カタログを横断して Plugin を検索できます。どのカタログにあるかではなく、必要な機能を検索すればよいのです。ポータブルな Agent Plugin パッケージと組み合わせることで、ある環境で構築した Plugin を、その作成元のマシンやワークスペースに縛られることなく、別の環境へスムーズにインストールできます。¹¹⁶

Plugin の検索

Codex はセッション開始時に、有効な Plugins をモデルへ通知します（v0.111.0）。これにより、インストール済みの MCP、アプリ、skills を見つけやすくなります。⁶⁵ モデルはタスクの文脈に基づき、セッション中に関連する Plugins を提案できます。v0.117.0では、製品スコープの Plugins が起動時に同期されるため、手動で操作しなくても最新の Plugin カタログを利用できます。⁷⁵ v0.142.0以降、/plugins メニューではリモート Plugins が OpenAI Curated、ワークスペース、自分と共有のセクションに分類され、対象となるターンでは関連する Plugins をインラインで提案し、インストールできます。¹⁰⁴ v0.151.0以降、plugin/list と plugin/installed は、要求された各 cwd の有効な Plugin 設定を読み込みます。ローカルマーケットプレイスはリクエスト順に結合され、インストール状態と有効化状態はリポジトリ間で統合されます。また、無効なプロジェクト設定は、有効なローカルカタログやグローバルで有効なリモートカタログを除外することなく、marketplaceLoadErrors を通じて報告されます。¹³⁴

@plugin メンション（v0.112.0以降）

チャット内で @plugin-name を使うと、インストール済みの任意の Plugin を直接参照できます。⁶⁸ Plugin をメンションすると、そのコンテキスト（機能、ツール、設定）がモデルのコンテキストウィンドウへ自動的に追加されます。Plugin の機能を改めて説明する必要はありません。

@deploy push this branch to staging with canary rollout
@linter check for unused imports in src/

カスタム skills、MCP サーバー、アプリコネクターを含む、インストール済みのあらゆる Plugin で利用できます。

Plugin マーケットプレイス（v0.113.0以降）

Plugin マーケットプレイスでは、メタデータ、カテゴリー、評価を利用して、より詳しく検索できるようになりました。⁶⁹ インストール時の認証チェックでは、API キーまたは OAuth を必要とする Plugins に有効な認証情報が設定されているか、インストール前に検証します。アンインストール用エンドポイントを使うと、Plugins と関連設定を適切に削除できます。

サードパーティ製マーケットプレイスの追加（v0.121.0以降）

現在の OpenAI Codex ドキュメントでは、マーケットプレイスのソース管理に codex plugin marketplace を使用します。これにより、OpenAI のファーストパーティマーケットプレイスに限定されないサードパーティ製 Plugin の配布方法が正式に定義され、GitHub リポジトリの短縮表記、HTTP(S) Git URL、SSH URL、ローカルマーケットプレイスのルートディレクトリがサポートされます。Git の ref を固定するには --ref を使用し、--sparse PATH の繰り返し指定は Git ベースのマーケットプレイスリポジトリに限って使用してください。⁹³

# GitHub repository (shorthand)
codex plugin marketplace add owner/repo

# Arbitrary git URL
codex plugin marketplace add https://git.example.com/team/plugins.git

# SSH Git URL
codex plugin marketplace add git@example.com:team/plugins.git

# Local directory
codex plugin marketplace add /path/to/local/marketplace

# Upgrade or remove a configured marketplace
codex plugin marketplace upgrade <marketplace-name>
codex plugin marketplace remove <marketplace-name>

追加したマーケットプレイスの Plugins は、デフォルトの Plugins と並んで /plugins ブラウザーに表示されます。App server の呼び出し元（IDE／デスクトップ統合）では、プログラムからマーケットプレイスを登録するための同等のエンドポイントを利用できます。⁸²

セキュリティ上の注意：サードパーティ製マーケットプレイスの Plugin コードは、Codex に付与された権限で任意に実行されます。追加前にソースの信頼性を確認し、初回実行時にはサンドボックス環境の使用を推奨します。

Agent Plugins：ベンダー横断の標準（v0.146.0〜v0.147.0）

「Agent Plugins」は単なる Codex の機能名ではありません。オープンかつベンダー中立なパッケージング標準であり、2026年8月6日に Agent Plugins 1.0.0として公開されました。公式サイトでは「AI エージェントを拡張する再利用可能なコンポーネントのための、ポータブルなパッケージ形式」と説明されています。¹⁶¹ Plugin は、必須の plugin.json マニフェストを含むディレクトリです。このマニフェストは、最上位で許可されるフィールドが $schema、name、version、description、author、homepage、repository、license、keywords、extensions の10個に限定されたクローズドスキーマであり、「クライアントは未知のフィールドを1つずつ報告し、無視しなければならない」と定められています。さらに、任意の skills/ フォルダー（直下にある、SKILL.md を含む各子ディレクトリが1つの skill となります）、stdio、Streamable HTTP、または従来の HTTP+SSE サーバーを宣言する任意の mcp.json、および他のクライアントが「無視しなければならない」逆ドメイン形式の任意のクライアント名前空間ディレクトリで構成できます。規範として定める範囲はパッケージングです。この仕様は「AI エージェントを拡張する再利用可能なコンポーネントを配布可能な Plugins としてパッケージ化するための、標準 Agent Plugins Specification v1.0.0を定義する」ものであり、その下位に位置する Agent Skills と MCP には、それぞれ独自の仕様が引き続き適用されます。¹⁶¹

重要なのはガバナンスです。Vercel が提案を開始し、Amazon、Anysphere（Cursor）、GitHub、Microsoft、OpenAI と共同で1.0仕様を策定しました。仕様リポジトリのメンテナーには Amazon、Cursor、Microsoft、OpenAI、Vercel の関係者が名を連ね、Google も公開日にコアメンテナーへ加わると発表しています。¹⁶¹ 発表時に対応クライアントとして挙げられたのは、ChatGPT、Codex、Cursor、GitHub Copilot、Kiro、VS Code です。目立つ不在者もいます。基盤となる Agent Skills 形式と MCP 自体を作成した Anthropic は、メンテナーに含まれていません。Claude Code は独自の Plugin 形式を維持しており、Codex 側では Claude Code マーケットプレイスソース（v0.146.0）と /import によって、その隔たりを埋めています。¹⁶¹

Codex の観点では、v0.146.0で Agent Plugins のマニフェスト、ワークスペースへの Plugin 公開、さらに Amazon Bedrock と Claude Code という2つの Plugin マーケットプレイスが追加されました。¹¹⁴ v0.147.0では、ポータブルな Agent Plugins のインストールと、ローカル、個人、ワークスペース、リモートの各カタログを横断する検索が加わり、一連の機能が完成しました。¹¹⁶ チームにとって運用上特に便利なのは、ワークスペースへの公開です。公開マーケットプレイスを立ち上げたり、各開発者に Git ソースを手動で追加してもらったりせず、自分たちのワークスペースへ Plugins を公開できます。

リリースノートでは Codex 上の機能について発表されていますが、設定キーや CLI 構文は公開されていません。ここでは、この機能が追加されたことと標準の仕様を記録するにとどめ、Codex からの操作方法は扱いません。OpenAI のドキュメントで説明されるまでは、マニフェストの作成ワークフローと codex plugin publish の呼び出しはいずれも未検証として扱ってください。

Plugins の管理

codex plugin marketplace add <src>       # Add a marketplace source
codex plugin marketplace upgrade [name]  # Upgrade one marketplace or all
codex plugin marketplace remove <name>   # Remove a configured marketplace
codex plugin list                        # List plugins; includes remote catalog entries (v0.153.0)
codex plugin list --json                 # JSON adds source, version, install + auth policy (v0.153.0)

v0.153.0では、Plugin の CLI がマーケットプレイス管理から、リモートマーケットプレイスに対する Plugin 単位の操作へと拡張されました。codex plugin list にはリモートカタログのエントリが含まれ、JSON 出力にはソース、バージョン、インストールポリシー、認証ポリシーが表示されます。また、既存の Plugin CLI を使って、リモート Plugins を追加および削除できます。リモートカタログはスコープとコレクションごとにキャッシュされ、新しいキャッシュ結果が優先されます。キャッシュ内で Plugin が見つからない追加リクエストでは、1回だけ再取得されます。さらに、フィルタリングされていないリモート一覧の取得に失敗しても、ローカルのキュレーション済みカタログは保持されます。ただし、明示的に選択したリモートマーケットプレイスのエラーは引き続き表示されます。¹⁴⁰

TUI では、/plugins（v0.117.0以降）を使用すると、セッションを離れることなく、個々の Plugins を対話形式で参照、インストール、削除できます。⁷⁵

上級者向けのヒント：Plugins を使えば、以前は個別に必要だった MCP の設定、skill のインストール、アプリコネクターのセットアップを1つにまとめられます。1つの Plugin に3つすべてを同梱できるため、チームへの導入が速くなり、設定の移植性も高まります。

Plan Modeとコラボレーション

Plan modeでは、Codexが変更を実行する前にアプローチを設計できます。デフォルトで有効です（v0.94.0以降）。¹⁴ 「Plan Modeと直接実行」の判断ツリーについては、判断フレームワークをご覧ください。

Plan modeとupdate_planツール（v0.152.0）の違い： この2つは別のものであり、デフォルトで有効なのは一方だけです。Plan modeはこのセクションで説明するコラボレーションモードで、Codexが実行前に提案を行います。v0.94.0以降デフォルトで有効になっており、この点に変更はありません。update_planは、モデルがターン内で構造化された計画を維持するために呼び出せる計画用のツールです。v0.152.0ではオプトイン機能として導入されました。tools.update_plan.enabledのデフォルトはfalseです。無効な間は、Codexに同梱されているupdate_planのガイダンスも、モデル、コラボレーションモード、マルチエージェント、コンパクション、事前ウォームアップ、目標継続の各プロンプトから除外されます（カスタム基本指示、モデルカタログの指示、コラボレーションポリシー、ユーザーの目標テキストは、計画に言及していても保持されます）。有効にするには、config.tomlでtools.update_plan.enabled = trueを明示的に設定してください。¹³⁸

Plan Modeへの切り替え

/plan                              # Switch to plan mode
/plan "redesign the API layer"     # Plan mode with initial prompt

Plan modeでは、Codexは次のように動作します。 - ファイルを読み込み、コードベースを分析します - 実装計画を提案します - 承認されるまで変更を行いません - 専用のTUIビューに計画をストリーミング表示します

Steer Mode

Steer mode（v0.98.0以降デフォルトで有効）では、Codexが作業している最中でも、現在のタスクを中断せずに新しい指示を追加できます。¹⁴

指示を追加する方法は2つあります。

実践例：

# Codex is refactoring the auth module...

[Enter] "Use bcrypt instead of argon2 — we already have it as a dependency"
→ Codex adjusts immediately, mid-turn

[Tab] "Once auth is done, update the migration script too"
→ Codex finishes auth refactor, then starts the migration

Steer modeはTUIで常に有効です。Codexが完了するのを待ってから指示を出したい場合は、ターンの終了後に通常どおり入力するだけです。特別なモードは必要ありません。

TUIの機能強化（v0.105.0～v0.106.0）

シンタックスハイライト（v0.105.0）： TUIでは、フェンス付きコードブロックと差分がインラインでシンタックスハイライトされるようになりました。配色は/themeで選択できます。⁶¹

新しいTUIコマンド（v0.105.0以降）：⁶¹

音声文字起こし（v0.105.0、試験的機能）： スペースキーを押すと、音声文字起こしを使ってプロンプトを入力できます。この機能は試験段階にあり、マイクの権限が必要になる場合があります。⁶¹ v0.107.0以降、リアルタイム音声セッションではマイクとスピーカーのデバイスを選択でき、使用する音声入出力ハードウェアを指定できます。⁶² v0.140.0で削除され、v0.145.0で復活： 試験的な/realtime音声コントロールとそのオーディオ依存関係は、v0.140.0でTUIから削除されました（スペースキーによる音声文字起こしには影響しません）。¹⁰² v0.145.0では、新しい形で音声機能が復活しました。一般的なローカル音声形式による音声入力と音声ツール出力に加え、ストリーミング形式のリアルタイムV3会話を利用できます。¹¹² v0.155.0とv0.156.0：ライブ音声会話。 v0.155.0（2026年9月17日）では、試験的なオプトイン機能として/voiceが追加されました。対応ビルドの/experimentalから有効にでき、ストリーミング文字起こしとマイクコントロールを備えたライブ会話を利用できます（#43581、#43651、#44331）。ミュート用ショートカットも設定でき（#43690）、macOSパッケージには署名済みの音声リソースが含まれます（#43983）。v0.156.0（2026年9月22日）では安定版となり、デフォルトで有効になりました（#44921）。同日のドキュメント変更履歴でも、「音声会話がデフォルトで有効になり、F8による切り替え、/voice settingsピッカー、LinuxおよびWindows向けの同梱オーディオランタイムが追加されました」と発表されています。無効にするには、config.tomlの[features]でrealtime_conversation = falseを設定してください。CLIのslash commands参照には、現在も/voiceが掲載されていません。また、ドキュメントの音声機能ページで扱われているのは、別の操作環境であるデスクトップアプリのChatGPT Voiceです。¹⁵⁶¹⁶⁹

その他の改善： - 長いリンクがTUIの行をまたいで折り返されても、クリックできるようになりました（v0.105.0）⁶¹ - ローカルファイルへのリンクが、より見やすい形式で表示されます（v0.106.0）⁶⁰ - TUIのMarkdownではOSC 8メタデータによってWebリンクのクリックが維持され、窮屈なテーブルはリンク先を失うことなく、読みやすいキー／値形式のレコードとして表示されます（v0.136.0）¹⁶⁸ - 対応ターミナルではMarkdownリンクがクリック可能なラベルとして表示され、それ以外の環境ではURLも表示されます（v0.150.0）¹³² - サブエージェントに対するCtrl+Cの処理が修正され、子プロセスを正しく終了できるようになりました（v0.106.0）⁶⁰

メモリシステム

Codexには、セッションをまたいで事実、設定、プロジェクトのコンテキストを保存する永続メモリシステムがあります（v0.100.0以降）。²⁴

メモリコマンド

メモリは~/.codex/memory/配下のMarkdownファイルに保存されます。Codexはセッション開始時にメモリを読み込み、以降のすべてのセッションで動作の判断材料として使用します。

保存する内容

メモリは、永続的な設定やプロジェクトの事実を保存するのに適しています。

• プロジェクトの規約：「このプロジェクトではスペースではなくタブを使用する」または「APIのレスポンスには常にmetaフィールドを含める」
• ツールの設定：「npmではなくpnpmを使用する」または「pytest -x --tb=shortでテストを実行する」
• アーキテクチャ上の決定：「認証モジュールはsrc/middleware/ではなくsrc/core/auth/にある」
• ワークフローの設定：「差分を表示する前に、必ずリンターを実行する」

パイプラインでのメモリ

codex execを実行すると、メモリが自動的に読み込まれます。そのため、CI/CDパイプラインやスクリプトでも対話型セッションと同じコンテキストを利用でき、呼び出すたびに指示を繰り返す必要はありません。

メモリの改良（v0.101.0～v0.107.0）

• シークレットのサニタイズ：メモリをディスクへ書き込む前に、シークレットが含まれていないか自動的にスキャンします
• CWDの認識：プロジェクト固有の情報を呼び出せるよう、メモリファイルに作業ディレクトリのコンテキストが含まれるようになりました
• 開発者メッセージの除外：フェーズ1のメモリ入力から開発者／システムメッセージを除外し、ユーザーとのやり取りに焦点を当てることでメモリの品質を向上させました
• 差分ベースの忘却（v0.106.0）：差分に基づいて古くなった事実を削除するようになり、メモリストアが長期にわたって軽量かつ適切な状態に保たれます⁶⁰
• 使用状況を考慮した選択（v0.106.0）：使用状況を考慮してメモリを取得し、頻繁に参照されるものや直近の状況と関連性の高いものを優先するようになりました⁶⁰
• 設定可能なメモリ（v0.107.0）：メモリを全面的に設定できるようになりました。保存済みのメモリをすべてリセットして白紙の状態に戻すには、codex debug clear-memoriesを使用します。関連性のないプロジェクトへ切り替える場合や、メモリの状態が実態とずれた場合に便利です⁶²
• フェーズ2モデルのアップグレード（v0.121.0）：フェーズ2のメモリ統合モデルが、以前のデフォルトからgpt-5.4へ更新されました。フェーズ2のパイプラインはセッション間に実行され、フェーズ1のトランスクリプトから永続的な事実を抽出します。モデルの変更により、同じトークンコストで想起品質が向上します。⁸²
• TUIのメモリメニュー（v0.121.0）：メモリモード、個別メモリの削除、リセットボタンをセッション内で操作できる新しいUIが追加されました。メモリをリセットしても過去のロールアウトが保持されるようになったため、セッションの再生を損なうことなく、今後の想起対象だけを消去できます。⁸²

メモリとAGENTS.mdの比較

ヒント：無期限に保持したい事実には/m_updateを使用してください。セッション固有のコンテキストは、会話の中でCodexに直接伝えるだけで構いません。チームで共有するコンテキストにはAGENTS.mdを使用します。

セッション管理

Codex はセッションを ~/.codex/sessions/ に保存するため、CLI とデスクトップ環境の間で、再開、フォーク、マルチスレッドのワークフローを利用できます。

v0.146.0 では、スレッドを名前で指定できるようになりました。 /new と /clear にセッション名を指定でき、重要なスレッドをピン留めできます。また、別の会話に移るために現在の会話を閉じる必要がなくなり、サイド会話を開いたままにできます。¹¹⁴ 実際のところ、長期間続くプロジェクトが、日付を手がかりに見分けなければならないタイムスタンプの一覧ではなくなります。v0.147.0 では会話セクションが追加されました。会話を永続的なセクションに整理して手動で並べ替えられるほか、長いトランスクリプトも全体を一度に読み込まず、段階的に閲覧できます。¹¹⁶ v0.148.0 では /export とコマンドラインでのフォークが追加されました。/export は会話全体を Markdown としてクリップボードまたは新しいファイルに出力し、codex exec fork はセッションを非対話形式でフォークします。さらに、再開ピッカーからセッションをアーカイブおよび復元できます。¹¹⁸ v0.149.0 では codex queue が追加されました。コマンドラインから既存のローカルまたはリモートセッションへメッセージを送信できます。また、再開またはフォークしたスレッドで、有効な権限プロファイルが復元されるよう修正されました。¹²⁰ v0.150.0 ではタイトルが自動生成されるようになりました。名前のないターミナルタスクには内容を表すタイトルが自動的に付けられ、/rename では会話に基づく編集可能なタイトルが提案されます。¹³² v0.151.0 では /recap が追加されました。会話の直近の進捗と次のステップを短くまとめた要約を、必要なときにリクエストできます。また、対象となるアイドル状態かつフォーカスされていない会話には、Codex が同じ要約を自動生成してトランスクリプトに追加します。リクエストは範囲と処理環境が分離され、再試行は自動生成に失敗した場合に限られます。¹³⁵ v0.153.0 では、自動生成を無効にできるようになりました。tui.auto_recap = false を設定すると、スケジュール済みの自動要約チェックがキャンセルされ、保留中の自動生成結果も破棄されますが、手動の /recap は引き続き利用できます。¹⁴⁰

codex agents（v0.149.0） は、マシン上で実行中のすべてのエージェントセッションを管理するための対話型ダッシュボードです。1つの画面からタスクの検索、開始、表示、名前変更、停止を行え、ショートカットも設定できます。セッション内では、/agents ですべての実行中のエージェントセッションを切り替え、/subagents で現在のセッションに属するサブエージェントを切り替えます。¹²⁰¹²⁹ v0.150.0 では、会話からタスクを指定できるようになりました。@ メンションで別の Codex タスクを参照し、ターミナルからエージェントにタスクの読み取り、作成、またはメッセージ送信を依頼できます。¹³²

再開

前回の続きから再開します。

codex resume                          # Interactive picker (sorted by recency)
codex resume <SESSION_ID>             # Resume a specific session
codex exec resume --last "continue"   # Non-interactive: resume most recent

TUI 内の /resume slash command でも、検索機能を備えた同じ対話型ピッカーが開きます。

ページネーション対応のスレッド履歴（v0.145.0、v0.151.0 で正式採用）： ページネーション対応のスレッド履歴により、効率的な再開、履歴全体の検索、永続化されたスレッド名、サブエージェント対応、メモリ機能がセッション管理に加わります。履歴は一度にすべて読み込むのではなく、ページ単位で読み込まれます。数百件のセッションが存在する、長期間使用されている作業ディレクトリでは特に重要です。v0.145.0 で実験的機能として導入され、v0.151.0 では APIs が実験的機能から正式採用へ移行しました（thread/turns/list、thread/items/list、thread/revert で実験的な API 機能が不要になりました）。また、ストアが thread/turns/list と thread/items/list に対応し、かつ thread/start で historyMode が省略されている永続スレッドに限り、解決後のデフォルトがページネーション方式になります。エフェメラルスレッドと、これらの APIs に対応していないストアを使用するスレッドでは、引き続き従来方式がデフォルトです。明示的な選択の動作も変わりません。また、タグ rust-v0.151.0 の時点で、プロトコルレベルの ThreadHistoryMode enum は引き続き Legacy がデフォルトです（protocol.rs:755-758）。つまり、対応する永続スレッドに対する解決後のデフォルトであり、一律の切り替えではありません。¹¹²¹³⁵

フォーク

現在の進捗を失わずに別の選択肢を検討できるよう、会話を分岐します。

/fork                              # Fork current conversation
/fork "try a different approach"   # Fork with new prompt

フォークすると、フォーク地点までの履歴を共有する独立したスレッドが作成されます。v0.146.0 以降、フォーク履歴はページネーションに対応し、フォークを一時的なものとして作成できます。一時フォークはスレッド一覧に表示されないため、実際に操作するスレッド一覧に使い捨ての実験が混ざりません。¹¹⁴ 一方のフォークで行った変更が、もう一方に影響することはありません。アプローチを比較したり（例：「フォークして Memcached の代わりに Redis を試す」）、リスクの高い変更を安全に検討したりする際に役立ちます。

サブエージェントへのスレッドのフォーク（v0.107.0）： スレッドを独立したサブエージェントとしてフォークできるようになり、会話から自律的に実行される並行作業ストリームを生成できます。これは既存のフォークモデルを拡張したものです。単に会話を分岐するだけでなく、フォークされたスレッドが固有の実行コンテキストを持つサブエージェントになります。⁶² v0.117.0 以降、サブエージェントはパスベースのアドレス（例：/root/agent_a）と構造化されたエージェント間メッセージングを使用するため、マルチエージェントの連携がより明示的になり、デバッグもしやすくなりました。⁷⁵

暗号化されたエージェント間メッセージ（v0.138.0 以降）： Multi-agent v2 では、親エージェントがサブエージェントを生成したり、メッセージを送信したりする際のタスクテキストが暗号化されます。spawn_agent、send_message、followup_task のメッセージパラメーターには暗号化の指定があります。親モデルがツール呼び出しを生成すると Responses API がペイロードを暗号化し、ローカルで実行中の Codex は暗号文のみを保持します（InterAgentCommunication.encrypted_content に格納され、平文コンテンツは空になります）。その後、受信側モデルへ渡す際に API がサーバー側で復号します。¹⁰⁸ 実用上、次の3つの影響があります。

• ローカルのセッションログには、委任内容の平文が記録されなくなりました。 親エージェントがサブエージェントを生成したことや、その応答は確認できますが、送信された指示の正確な内容は確認できません。セッション履歴からマルチエージェントの実行を監査またはデバッグする場合、その記録は残っていません。この問題を追跡している未解決のリグレッションIssueには、2026年7月中旬時点で修正がリンクされていません。¹⁰⁹ 何が起きたかを再構築する手がかりとしては、拡張機能のライフサイクルイベント（サブエージェントの開始と停止、ツールの実行、ターンのメタデータ — v0.133.0 以降）と app-server の可観測性が残されています。⁹⁸
• カスタムプロバイダーのモデルでは動作しない場合があります。 暗号化されたツールの使用が設定されていないモデルエンドポイントは、暗号化された spawn_agent スキーマを 400 エラー（"declares encrypted parameters but is not configured for encrypted tool use"）で拒否します。カスタムプロバイダーでマルチエージェントの委任がこのエラーによって失敗する場合、原因は設定ではなく、この暗号化の変更です。¹⁰⁹
• Codex が生成する通知は引き続き読めます。 子エージェントの完了通知は Codex 自体が生成するため、平文のままです。また、シリアライズされた JSON エンベロープではなく、型付きの agent_message 項目として表示されるようになりました。¹⁰⁸

OpenAI は、この変更の背景にある脅威モデルを公開していません。PR では暗号文の処理フローを説明していますが、何から保護するためのものかは明記されていません。

Multi-agent v2 の安定化（v0.145.0、オプトイン）： v0.137.0 で登場し、v0.138.0 で委任の暗号化が加わった Multi-agent v2 は、オプトイン機能として安定版になりました。v0.145.0 では、サブエージェントのモデル、サブエージェントごとの推論レベル、同時実行数を設定できるようになり、マルチエージェントのロールが復元されたほか、エージェント間の移動も改善されています。v0.137/v0.138 の調整期間を理由に v2 の利用を見送っていた場合、設定インターフェースが安定したのはこのリリースです。サブエージェントのモデルと推論の選択はランタイムで固定されるのではなく、設定で指定できるようになりました。¹¹²

スレッド一覧

実行中のセッションを表示および管理します。

/status                            # Current session info and token usage
/ps                                # Show background terminals in session

デスクトップアプリでは、スレッドがサイドバーに表示され、履歴全体と差分のプレビューを確認できます。

セッションのライフサイクル

セッションは CLI とデスクトップアプリの間で同期されるため、一方で開始し、もう一方で続きを進められます。

非対話モード（codex exec）

codex exec は、スクリプト、CI/CD、自動化のために Codex を非対話形式で実行します。¹⁵

基本的な使い方

codex exec "summarize the repository structure"
codex exec --sandbox workspace-write -c approval_policy=on-request "fix the CI failure"   # exec has no -a flag; set the policy via -c or config
codex exec --json "triage open bugs" -o result.txt

デフォルトでは、codex exec は進捗やイベントを stderr に、エージェントの最終メッセージを stdout に出力します。標準的な Unix パイプラインと組み合わせやすい設計です。

セッションのアーカイブ（v0.136.0）

履歴を削除せず、再開／フォークの一覧を整理するためにセッションをアーカイブできます。TUI では /archive、シェルでは次のようにアーカイブします。¹⁶⁸

codex archive <session-id>     # archive a session
codex unarchive <session-id>   # restore it

アーカイブしたセッションは、アーカイブを解除するまで再開やフォークの対象になりません。終了させるつもりだったセッションを誤って続行するのを防ぐガードレールです。同じリリースでは、codex app-server --stdio により、エディターやホストとの統合に向けて app-server を stdio モードで起動できるようになりました。また、コマンドの安全性を確保する修正として、/diff からリポジトリ提供の Git ヘルパーを実行できなくなりました。Windows では、管理者向けのアルファ版プロビジョニング手段として codex sandbox setup --elevated が追加されています。¹⁶⁸

JSON Lines 出力

--json を指定すると、stdout は JSONL イベントストリームになります。

codex exec --json "fix the tests" | jq

イベントの種類：thread.started、turn.started/completed/failed、item.started/completed、error

{"type":"thread.started","thread_id":"019c5c94-..."}
{"type":"turn.started"}
{"type":"item.started","item":{"id":"item_1","type":"command_execution","status":"in_progress"}}
{"type":"item.completed","item":{"id":"item_3","type":"agent_message","text":"..."}}
{"type":"turn.completed","usage":{"input_tokens":24763,"cached_input_tokens":24448,"output_tokens":122}}

構造化出力

JSON Schema を使用して、レスポンスの形式を強制します。

codex exec "Extract project metadata" \
  --output-schema ./schema.json \
  -o ./project-metadata.json

-o / --output-last-message は、最終メッセージをファイルに書き込みます。

セッションの再開とレビュー

codex exec resume --last "continue where you left off"
codex exec resume <SESSION_ID> "fix the remaining issues"
codex exec review --base main           # Code review against a branch

主なフラグ

CI 認証

codex exec は、自動化環境での非対話認証に CODEX_API_KEY を使用できます。

codex exec の起動バナー（v0.130.0）。 codex exec の起動バナーには、従来の「research preview」という文言が表示されなくなりました。CI で起動時の出力を解析している場合、バナーのテキストが簡潔になっている点に注意してください。構造化された --json イベントに変更はありません。⁹¹

codex remote-control（v0.130.0 以降）

codex remote-control は、別のプロセス（IDE 拡張機能、カスタムオーケストレーター、リモート制御プレーンなど）から操作することを想定した、ヘッドレス app-server を起動するトップレベルコマンドです。多くのインテグレーターが複数のフラグを手作業で組み合わせていた codex app-server の呼び出しに代わり、デスクトップや IDE のインターフェースで提供されるものと同じ app-server ランタイムに、サードパーティ製ツールからアクセスできる単一の安定したエントリーポイントを提供します。⁹¹ v0.133.0 ではコマンドの実行形態が改善され、フォアグラウンドコマンドとして実行し、準備完了を待機して、マシンの状態を報告できるようになりました。さらに、長時間稼働するコントローラー構成向けに、明示的なデーモン形式の start / stop コマンドも引き続き利用できます。⁹⁸ v0.143.0 では codex remote-control pair が追加されました。 実行中のデーモンから手動ペアリングコードを生成するため、自動検出ハンドシェイクを使わずにコントローラーを接続できます。制御プロセスとデーモンが異なるホストやネットワークセグメントにある場合に便利です。¹⁰⁶

# Start a headless, remotely controllable app-server
codex remote-control

# Generate a manual pairing code for an out-of-band controller (v0.143.0+)
codex remote-control pair

# Same lifecycle as a TUI session: thread store, hooks, plugins, MCP, sandbox
# all initialize from your normal config.toml.

すべてのターンを一度にメモリへ読み込まず、大量のスレッド履歴を列挙する必要がある UI を構築する場合は、codex remote-control と以下の app-server ページネーション APIs を組み合わせてください。

App-Server のスレッドページネーション（v0.130.0 以降）

app-server クライアントでは、3種類のターン項目ビューを使用して、大規模なスレッドをページ単位で取得できるようになりました。⁹¹

v0.121.0 で導入された ThreadStore インターフェースとページネーションを組み合わせることで、長時間実行されるスレッドを効率よくたどれます。特に、オーケストレーターとロールアウトファイルが別のマシンに置かれる可能性があるリモート制御環境で有効です。⁸² v0.143.0 では、コントローラーが調査できる範囲が広がりました。 app-server クライアントで、利用可能な環境の列挙、スレッドの子孫スレッドの一覧表示、特定のターンを起点とした履歴のフォークが可能になりました。これらは、履歴を先頭から再実行せず、以前の時点から実行を分岐させる UI に必要な基本機能です。¹⁰⁶ v0.151.0 では、ページネーション対応のスレッド履歴 APIs が実験段階を終了しました。 対応するストアを使用する永続スレッドでは、thread/start で historyMode を省略すると、デフォルトでページネーション対応履歴が使用されます（エフェメラルスレッドと非対応ストアでは従来方式が維持されます）。また、ページネーション対応スレッドでの全履歴の読み込みは非推奨となりました（#40676）。¹³⁵

App-Server 設定のライブ更新（v0.130.0 以降）

実行中の app-server スレッドは、再起動しなくても config.toml の変更を反映できるようになりました。設定を編集して保存すると、実行中のスレッドでは次のターンから新しい値が反映されます。これは codex remote-control と対になるバグ修正であり、長時間稼働するヘッドレスサーバーを停止せず、その場で再設定できます。⁹¹

ターン単位のライブ設定（v0.151.0）： 実行中のターンの設定を、処理の途中でも変更できるようになりました。実験的な app-server メソッド turn/settings/update は、特定の実行中ターンにおける後続ステップの model、effort、summary、serviceTier を更新します。将来のターンには影響しません。また、更新が適用されたか、拒否されたか、対象を見失ったかを報告します。更新後の設定スナップショットが公開される前に、管理対象の制約が再検証され、そのターンですでに許可された承認および Guardian の安全性プロパティも維持されます。turn/start では serviceTierForTurn も指定できるため、スレッドに保存されたサービスティアを変更せず、新しい1ターンだけサービスティアを上書きできます（"default" は標準速度を意味し、省略または null の場合はスレッドのティアを継承します）。¹³⁵

暗号化されたリモートエグゼキューター（v0.141.0）

v0.141.0（安定版、2026年6月18日）以降、リモートエグゼキューターは、認証済みのエンドツーエンド暗号化 Noise リレーチャネルを介して接続します。制御プレーンとエグゼキューターは、その間にあるリレーを信頼する必要がなくなりました。オーケストレーターがネットワーク境界を越えて app-server を操作する場合に重要です。同じリリースでは、クロスプラットフォームのリモート実行で、エグゼキューター固有の作業ディレクトリとシェルが維持されるようになりました。これにより、ある OS 上のコントローラーから別の OS 上のエグゼキューターを操作しても、パスやシェルのセマンティクスが意図せず書き換えられることはありません。また、エンタープライズプロキシとの互換性を確保するため、TLS で P-521 証明書署名も受け入れられるようになりました。¹⁰³

Codex Cloudとバックグラウンドタスク [EXPERIMENTAL]

GitLabサポート（ベータ版、2026年8月19日）： Codex cloudでは、すべてのChatGPTプランでGitLabプロジェクトに接続できるようになりました。プロジェクトをリンクし、環境を作成して、issueやマージリクエストからタスクを開始したり、レビューを依頼したりできます。Self-Managed GitLabには19.0以降が必要です。¹¹⁹

ステータス：Codex Cloudは実験的な機能です。インターフェース、料金、利用可能状況は変更される場合があります。クラウド環境はOpenAIが管理するため、インフラストラクチャを制御することはできません。

Codex Cloudは、OpenAIが管理する環境でタスクを非同期に実行します。⁴ CLI v0.150.0以降、ターミナル上の会話からもタスクを操作できます。@メンションで他のCodexタスクを参照し、エージェントにタスクの読み取り、作成、メッセージ送信を依頼できます。¹³² CodexをCIパイプラインに統合する方法については、GitHub ActionとCI/CDもご覧ください。

クラウドタスクの認証情報を強化（v0.152.0）： クラウドタスクのリクエストには保存済みのChatGPT認証情報が含まれる可能性があるため、認証情報を読み込む前の段階で送信先が制限されるようになりました。CODEX_CLOUD_TASKS_BASE_URLは、ポート443上の信頼できるChatGPT HTTPSオリジンに対して検証されます（ユーザー情報、クエリ、フラグメントを含むURLは拒否されます）。また、認証情報がリダイレクト先へ転送されないよう、クラウドタスクのバックエンドと環境検出クライアントではリダイレクトが無効化されています。¹³⁸

仕組み

1. タスクを送信します（chatgpt.com/codex、Slack連携、またはCLIから）
2. Codexがリポジトリを隔離されたクラウドサンドボックスへクローンします
3. エージェントが独立して作業します。コードを読み、テストを実行し、変更を加えます
4. 完了すると、CodexがPRを作成するか、レビュー用のdiffを提供します
5. codex apply <TASK_ID>で結果をローカルに適用します

クラウドでのインターネットアクセス

エージェントのインターネットアクセスはデフォルトでオフになっており、環境ごとに設定します。

• オフ：エージェントはインターネットにアクセスできません（デフォルト）
• オン：任意のドメイン許可リストとHTTPメソッドの制限を設定できます

Allowed domains: pypi.org, npmjs.com, github.com
Allowed methods: GET, HEAD, OPTIONS

エージェントのインターネットアクセスがオフでも、セットアップスクリプトはインターネットを使用して依存関係をインストールできます。

Slack連携

Slackのチャンネルまたはスレッドで@Codexにメンションすると、クラウドタスクを開始できます。

前提条件： 1. 対象となるChatGPTプラン（Plus、Pro、Business、Enterprise、またはEdu） 2. 接続済みのGitHubアカウント 3. 設定済みのクラウド環境が1つ以上 4. ワークスペースにSlackアプリがインストールされていること

Codexはタスクへのリンクを返信し、完了すると結果を投稿します。

Cloud CLI

codex cloud exec --env <ENV_ID> "Fix failing tests"  # Start a cloud task
codex cloud status <TASK_ID>                          # Check task progress
codex cloud diff <TASK_ID>                            # View task diff
codex cloud list                                      # List recent tasks
codex cloud list --json                               # JSON output
codex cloud apply <TASK_ID>                           # Apply from cloud subcommand
codex apply <TASK_ID>                                 # Apply diff (top-level shortcut)

Codex Desktop App

Codex Desktop App（macOSおよびWindows）は、複数プロジェクトの管理に最適化されたグラフィカルインターフェースを提供します。¹⁶ Windows版は2026年3月4日にリリースされ、ネイティブのPowerShell対応とWindowsネイティブのサンドボックスを備えています。⁶⁶

インストール

codex app                      # Auto-downloads and installs on first run

または直接ダウンロード：Codex.dmg（macOS）| Microsoft Storeで入手可能（Windows）

主な機能

Appshots、ブラウザコメント、Computer Use

5月21日のアプリ更新により、Desktop Appは単なるスレッド管理ツールではなく、より強力なコンテキスト共有の場になりました。Codexが処理を始める前に別のMacアプリの状態を把握する必要がある場合は、Appshotsを使用します。Codexは最前面のウィンドウに加え、アプリが公開している画面上および画面外の取得可能なテキストを取り込み、その添付ファイルをセッション履歴へローカルに保存します。⁹⁹

Webやフロントエンドの作業では、認証が不要なページなら、まずアプリ内ブラウザを使用します。Codexとユーザーが同じレンダリング済みプレビューを共有でき、クリック、スクリーンショット、アセットのダウンロード、読み取り専用の検査JavaScriptといったブラウザ操作に対応しています。さらに、ページ上の領域へコメントを付け、次のターンでCodexに対応させることもできます。⁹⁹ ログインが必要なサイトでは、引き続きブラウザ拡張機能（Chrome、Edge、Brave、Opera、Vivaldi。Operaにはサイドチャットがありません）を使用してください。サイトツール（WebMCP、2026年8月25日）：Desktop Appの組み込みブラウザでは、ChatGPT WorkとCodexがWebサイトから提供されるツールを使ってページを操作できます。最新のDesktop AppでGPT-5.6 SolまたはGPT-5.6 Terraを使用してください。サイトツールはGPT-5.6 Luna、およびEnterpriseまたはEduワークスペースでは利用できません。¹²⁷

構造化された連携機能やブラウザプレビューではタスクを検証できない場合に限り、Computer Useを使用します。許可されたMacアプリの内容を確認して操作できますが、ファイル編集とシェルコマンドにはCodexの承認およびサンドボックスルールが適用されます。ロック中の使用も限定的です。Macがロックされた後、信頼済みのアクティブなComputer Useターンの実行中に限り、Codexは許可されたアプリへ一時的にアクセスできます。また、再ロックの保護機能とローカル入力の検出も備えています。⁹⁹

スレッドモード

各スレッドは、作成時に選択した次の3つのモードのいずれかで実行されます。

Worktreeの分離の仕組み：

Worktreeスレッドを開始すると、Desktop Appは次の処理を行います。 1. 一時ディレクトリに新しいgit worktree（git worktree add）を作成します 2. 現在のHEADから新しいブランチをチェックアウトします 3. worktree内でエージェントを実行します。すべてのファイル変更は分離されます 4. 完了時に差分レビューを表示します。マージして戻す変更を選択できます

このため、同じリポジトリで複数のWorktreeスレッドを競合なく同時に実行できます。各スレッドには専用のブランチと作業ディレクトリが割り当てられます。

Worktreeの設定とスレッドの所有権（v0.151.0）： 管理対象worktreeの動作は、専用の設定パーサーによって既存の[desktop]設定から解決されます。worktreeのルートはデフォルトで$CODEX_HOME/worktreesとなり、自動クリーンアップはデフォルトで有効、保持されるworktreeは15個です。設定されたルート、クリーンアップフラグ、保持数は使用前に検証されます。管理対象としてリンクされた各worktreeには、Gitメタデータ内にバージョン管理されたcodex-thread.json所有権レコードを保存し、スレッドとの関連付けを記録することもできます。書き込みはアトミックかつ上書き禁止です（同じ関連付けの繰り返しは冪等に処理され、所有者が競合する場合は拒否されます）。また、所有権メタデータに変更を加える前に、プライマリ、ネストされたチェックアウト、管理対象外のチェックアウトは拒否されます。¹³⁵

v0.154.0で管理対象worktreeがCLIに対応（実験的機能）： 起動時の--worktreeまたはTUI内の/worktreeにより、新規またはフォークしたセッション用の分離されたチェックアウトを作成できます。codex execも自動化向けの管理対象worktreeに対応し、TUIのセッションコマンドとworktreeブラウザからworktreeセッションを一覧表示、閲覧、再開できます（#42196、#42366、#42652、#43069、#43120、#43286）。v0.155.0では、worktreeが引き続きデフォルト無効のまま、関連する管理機能が追加されました： agents概要でworktreeセッションを非表示、アーカイブ、削除できるようになり、所有権の詳細も表示されます。また、変更のない管理対象worktreeを削除する際には確認が求められます（#43942、#44424、#44433）。9月11日にマージされたデフォルト有効化（#44870）は、rust-v0.155.0タグとの祖先関係を確認した結果、安定版0.155.0には含まれていませんでした。¹⁵²¹⁵⁶

v0.156.0で管理対象worktreeがデフォルトになります： #44870によりworktreesが安定版の機能へ昇格し、デフォルトで有効になり、/experimentalから削除されます。同時に、worktreeセッションごとに独自のデーモンを起動する代わりに、既存のローカルデーモンへ接続できる機能（#46498）と、agents概要から直接worktreeセッションを作成できる機能（#45276）もリリースされます。agents概要にはステータスフィルターのタブも追加されます（#46839）。worktreeは明示的に要求しない限り無効であるという前提でスクリプトや設定を作成している場合、0.156.0でその動作が変わります。オプトアウトするには： config.tomlの[features]でworktrees = falseを設定します（実行ごとに無効化する場合：--disable worktrees）。古いローカルデーモン： worktreeの作成または/cdが「The local Codex service cannot check background terminals」というメッセージでブロックされる場合は、codex app-server daemon updateを実行してCodexを再起動してください。¹⁶⁹¹⁷¹

モデル向けのWorktreeツール（v0.162.0）： この機能が有効な信頼済みローカルプロジェクトでは、新しいツールを通じてモデル自身が管理対象worktreeを作成し、一覧表示できます（#50148）。また、新規会話とフォーク用のプロンプトでworktreeの選択肢が説明されるようになりました（#50416）。¹⁸⁷

自動化

自動化はアプリ内でローカルに実行されるため、アプリが起動していて、プロジェクトがディスク上で利用できる必要があります。

• Gitリポジトリでは、自動化に専用のバックグラウンドworktreeを使用します（作業ディレクトリから分離されます）
• Git以外のプロジェクトでは、プロジェクトディレクトリ内で直接実行されます
• 自動化にはデフォルトのサンドボックス設定が使用されます

自動化の設定： 1. Desktop Appでプロジェクトを開きます 2. サイドバーのAutomationsタブをクリックします 3. トリガー（スケジュール、Webhook、または手動）を定義します 4. プロンプトを記述し、実行モード（LocalまたはWorktree）を選択します 5. 自動化の実行に使用する推論レベルを設定します（App v26.312）⁷² 6. 自動化がスケジュールに従って実行され、結果がレビュー待ちキューに追加されます

使用例： - Issueのトリアージ：新しいIssueを自動的に分類し、優先順位を付けます - CIの監視：ビルドの失敗を監視し、修正案を提示します - アラートへの対応：監視アラートを受けて診断分析を行います - 依存関係の更新：セキュリティパッチを確認して適用します

結果は人間による承認のため、レビュー待ちキューに表示されます。

Windows対応

Codex Desktop AppのWindows版は2026年3月4日（App v26.304）にリリースされました。ネイティブのPowerShell対応、Windowsネイティブのサンドボックスに加え、WSLを必要とせず、skills、自動化、worktreesを含むすべての機能を利用できます。⁶⁶

GitHub Action と CI/CD

公式の GitHub Action を使用すると、Codex を CI/CD パイプラインに統合できます。¹⁸

基本的な使い方

# .github/workflows/codex.yml
name: Codex
on:
  pull_request:
    types: [opened]

jobs:
  codex:
    runs-on: ubuntu-latest
    outputs:
      final_message: ${{ steps.run_codex.outputs.final-message }}
    steps:
      - uses: actions/checkout@v5
      - name: Run Codex
        id: run_codex
        uses: openai/codex-action@v1
        with:
          openai-api-key: ${{ secrets.OPENAI_API_KEY }}
          prompt-file: .github/codex/prompts/review.md
          sandbox: workspace-write
          safety-strategy: drop-sudo

設定オプション

出力：final-message。後続のステップ／ジョブで使用する Codex の最終応答テキストです。

安全対策

アクセス制御

with:
  allow-users: "admin,maintainer"     # Limit who can trigger
  allow-bots: false                   # Block bot-triggered runs

デフォルト：書き込み権限を持つコラボレーターのみが Codex ワークフローをトリガーできます。

Codex SDK

TypeScript SDK を使用すると、Codex のエージェント機能をカスタムアプリに組み込めます。¹⁹

インストール

npm install @openai/codex-sdk

基本的な使い方

import { Codex } from "@openai/codex-sdk";

const codex = new Codex();
const thread = codex.startThread();

// Multi-turn conversation
const turn1 = await thread.run("Diagnose CI failures and propose a fix");
console.log(turn1.finalResponse);

const turn2 = await thread.run("Implement the fix and add tests");
console.log(turn2.items);

// Resume a previous session
const resumed = codex.resumeThread("<thread-id>");
await resumed.run("Continue from previous work");