Codex の権限の設定(/permissions)と確認の画面

Codex CLI が、確認なしでどこまで作業してよいかは、/permissions で切り替えます。この記事では、4 つの選択肢の違いと、Codex が確認を求めてきたときの画面の読み方を、編集部の検証環境の画面で説明します。

権限を決める 2 つの仕組み

Codex の権限は、次の 2 つの仕組みの組み合わせで決まります。

• サンドボックス: 技術的にどこまでできるか(書き込める場所、ネットワークにつなげるか)を決めます。Codex が実行するコマンドと、そこから動く Git やテストなど、すべてに効きます。
• 承認: どんなときに作業を止めて、人に確認するかを決めます。

ワークスペースは、Codex を起動したフォルダと、/tmp などの一時フォルダのことです。今のワークスペースは、/status で確かめられます。

/permissions の 4 つの選択肢

対話の画面では、この 2 つの組み合わせを /permissions で選びます。Codex CLI 0.162.1 で表示される選択肢は、次の 4 つです。

起動したときは、Git などで管理しているフォルダなら「Ask for approval」、管理していないフォルダなら「Read Only」が勧められます。フォルダを信頼するまでは、Read Only で始まることもあります。

/permissions で切り替える

「Full Access」を選ぶと、「Enable full access?」という確認が出ます。フルアクセスでは、Codex がパソコンのどのファイルでも編集でき、ネットワークを使うコマンドも承認なしで実行できる、という注意です。続けるなら「Yes, continue anyway」、やめるなら「Cancel」を選びます。

確認の画面が出たら

Read Only にしたあと、編集部は続けて次のように頼みました。

警告に、CSV の何行目の金額が空欄なのかも表示するようにしてください

Codex は、まず kakeibo.py の中身を読み、スクリプトを実行して、今の動きを確かめました。ここまでは、確認なしで進みました。次に、kakeibo.py を書き換えるコマンドを実行しようとしたところで、確認の画面が出ました。

画面の上の「Would you like to run the following command?」は、「次のコマンドを実行してよいですか」という意味です。

• ①「Reason」は、確認を求める理由です。Codex は「現在の環境は読み取り専用です。…kakeibo.py の編集を許可しますか？」と、日本語で理由を書いていました。
• ②は、実行しようとしているコマンドです。kakeibo.py の中の警告の文を、「expenses.csv の 9 行目」のような分かりやすい書き方に置き換えるコマンドです。
• ③は、選択肢です。意味は次の表のとおりです。

画面の下の案内(Press enter to confirm or esc to cancel)のとおり、Enter で決定し、Esc で取り消します。編集部は「1. Yes, proceed」を選んで Enter を押しました。

①の「You approved codex to run … this time」は、このコマンドの実行を今回だけ許可した、という表示です。Codex は②でコマンドを実行してから、スクリプトを実行し直して確かめました。③のように、警告に「expenses.csv の 9 行目」と表示されるようになりました。Codex の報告によると、行番号は見出しの行(ヘッダー)を 1 行目として数えています。

元の設定に戻すときは、もう一度 /permissions を開いて「Ask for approval」を選びます。

Approve for me の自動レビュー

「Approve for me」を選ぶと、承認が必要な操作を、まず自動のレビューが確かめます。公式のドキュメントによると、次のように動きます。

• 自動レビューが見るのは、もともと承認が必要な操作だけです。サンドボックスの範囲は「Ask for approval」と同じで、広がりません。
• データの持ち出し、認証情報を探す操作、セキュリティを恒久的に弱める操作、破壊的な操作を確かめて、重大なものは拒否します。自動レビューがうまくいかないときは、実行しない側に倒れます。
• 自動レビューに拒否された直前の操作は、/approve で 1 回だけやり直せます。

使用量の扱いは、公式の情報どうしで書き方が違います。ヘルプセンターは「ChatGPT でサインインしていれば、自動レビューの安全のチェックは無料で、プランの上限に数えない」、ドキュメントは「追加でモデルを呼び出すので、使用量が増えることがある」としています。

起動するときに決める

codex を起動するときのオプションでも、権限を決められます。

たとえば、読むだけの設定で起動するときは、次のコマンドです。

codex --sandbox read-only --ask-for-approval on-request

書き込める場所を広げたいときは、danger-full-access にするより、--add-dir でフォルダを足す方が勧められています。--dangerously-bypass-approvals-and-sandbox は、専用の仮想マシンなど、外側で隔離された環境の中だけで使うものです。

設定ファイルで決める

毎回同じ設定で使うときは、設定ファイル ~/.codex/config.toml に書きます。「Ask for approval」と同じ設定は、次のとおりです。

approval_policy = "on-request"
sandbox_mode = "workspace-write"

workspace-write では、既定ではコマンドからネットワークにつなげません。つなげる必要があるときは、次の設定を加えます。

[sandbox_workspace_write]
network_access = true

安全に使うための公式の注意

• 書き込める場所の中にも、守られるフォルダがある: .git・.agents・.codex のフォルダは、ワークスペースの中でも読み取り専用です。そのため、git commit のときに承認を求められることがあります。
• ネットワークと Web 検索は慎重に: ネットワークや Web 検索を有効にすると、プロンプトインジェクション(読み込んだ文章に紛れ込んだ指示に、AI が従ってしまうこと)の危険が増えます。Web 検索は、既定ではライブのページを見に行かず、OpenAI が持つ索引から結果を返します。
• フルアクセスは隔離した環境で: Full Access では、プロジェクトの外のファイルにも触れられます。Windows では、意図しない削除などでデータを失うおそれがあると、公式も注意しています。
• Git と組み合わせる: 作業用のブランチで、git status に変更がない状態にしてから任せます。こまめにコミットし、変更の差分を確かめます。

次の記事では、AGENTS.md に作業のルールを書いて、Codex に伝える方法を説明します。