OpenAI が Codex を安全に運用する方法について（6 分読了）

AI システムの能力が高まるにつれ、それらはますますユーザーに代わって行動するようになります。コーディングエージェントは、リポジトリの自動レビューやコマンドの実行、開発ツールとの対話を自律的に行うことができます。これらは以前は人間の直接実行を必要としていたタスクです。

Codex においては、組織が安全に導入するために必要な制御機能とともにこれらの能力を設計しました。セキュリティチームには、エージェントの動作を管理する方法が必要です：アクセス可能な範囲、人間による承認が必要なタイミング、対話可能なシステム、およびその行動を説明するテレメトリ（監視データ）です。

OpenAI においては、Codex を以下の明確な目標をもって展開しています：エージェントを明確な技術的境界内に留めること、低リスクのアクションについては開発者が迅速に進められるようにすること、そして高リスクのアクションは明示的な承認を得ることです。また、エージェントが何を行ったかを理解し監査できるよう、ネイティブなテレメトリ（監視データ）も維持しています。具体的には、管理された設定、実行の制限、ネットワークポリシー、およびエージェント固有のログを適用しています。

Codex の動作制御

Codex を展開する際の基本的な原則は、限定された環境内で生産性を発揮し、日常的な低リスクのアクションは摩擦なく行い、高リスクのアクションについてはレビューのために停止させることです。

承認とサンドボックスは連携して機能します。サンドボックスは、Codex が書き込みを行える場所やネットワークにアクセスできるかどうか、どのパスが保護されるかなど、技術的な実行の境界を定義します。一方、承認ポリシーは、Codex がアクションを実行する際にユーザーに確認を求めるべきタイミング（例えば、サンドボックス外の作業が必要な場合など）を決定します。ユーザーは特定のアクションを一度だけ承認することも、そのセッション中に同種のアクションを一律で承認することも可能です。

日常的な承認リクエストについては、「自動レビューモード」を採用しています。この機能をオンにすると、特定の種類のリクエストが自動的に承認されるため、Codex のアクションに対してユーザーが停止して承認を行う頻度を減らすことができます。Codex は計画されたアクションと直近の文脈を自動承認サブエージェントへ送信し、低リスクのアクションについてはユーザーへの中断を避けて自動的に承認します。これにより、Codex は日常的な作業を継続しつつ、高リスクや予期せぬ結果を伴うアクションに対しては停止する仕組みとなっています。

Codex を実行する際、開放的な外部接続アクセスは行いません。管理されたネットワークポリシーでは、期待される宛先のみを許可し、Codex へ到達させたくない宛先をブロックするとともに、未知のドメインに対するアクセスには承認を要求します。これにより、Codex は一般的な既知のワークフローを完了できるようになりますが、広範なネットワークアクセス権限は付与されません。

また、Codex の認証方法も管理しています。CLI および MCP の OAuth 資格情報は、安全な OS キーリングに保存され、ログインは ChatGPT を経由して強制され、アクセスは当社の ChatGPT エンタープライズワークスペースに固定されます。これにより、Codex の利用がワークスペースレベルの制御と紐付けられ、エンタープライズワークスペースにおける Codex の活動が ChatGPT コンプライアンスログプラットフォームで確認可能になります。

Codex がすべてのシェルコマンドを同様に安全とはみなさないよう、ルールを設定しています。エンジニアが日常の開発で使用する一般的な無害なコマンドは、サンドボックス外でも承認なしに実行可能ですが、特定の危険なコマンドはブロックするか、承認を必須とします。これにより、Codex は通常のエンジニアリングタスクでは迅速に進めつつ、サンドボックス外で実行したくないパターンについてはレビューを強制したりブロックしたりすることが可能になります。

このポリシーは、クラウド管理による要件、macOS 管理設定（managed preferences）、およびローカル要件ファイルの組み合わせを通じて適用されます。要件とは、ユーザーが上書きできない管理者によって強制される制御です。macOS の管理設定とローカルの要件ファイルを使用することで、チーム、ユーザーグループ、または環境ごとに異なる構成をテストしつつ、一貫したベースラインを維持できます。これらの構成は、デスクトップアプリ、CLI、IDE 拡張機能を含むローカル Codex のすべてのインターフェースに適用されます。

エージェントネイティブなテレメトリと監査証跡

制御は仕事の半分です。エージェントが展開された後、セキュリティチームにはこれらのエージェントが何をしているのか、そしてなぜそうしているのかを可視化する必要があります。従来のセキュリティログは Codex によるアクションを確認する際に依然として有用ですが、主に「何が起きたか」——プロセスの開始、ファイルの変更、ネットワーク接続の試行など——に答えるものです。なぜ Codex がその行動をとったのか、あるいはユーザーの意図は何だったのかを防御側が自ら推測しなければならない状況が残されています。

Codex はセキュリティチームに対して、よりエージェントを意識した視点を提供できます。Codex は、ユーザーのプロンプト、ツールの承認決定、ツールの実行結果、MCP サーバーの使用状況、ネットワークプロキシによる許可または拒否イベントなど、さまざまな Codex イベントに対する OpenTelemetry ログエクスポートをサポートしています。また、Enterprise および Edu カスタマー向けには、OpenAI コンプライアンスプラットフォームを通じて Codex のアクティビティログも利用可能です。

OpenAI では、Codex ログを AI 駆動のセキュリティトライアージエージェントと共に使用しています。エンドポイントアラートで Codex が不審な行動をとったと示された場合、エンドポイントセキュリティツールは疑わしいイベントが発生したことを通知します。その後、Codex ログがユーザーおよびエージェントによる周囲の意図を説明する手助けをします。当社の AI セキュリティトライアージエージェントは、元の要求、ツールのアクティビティ、承認決定、ツールの結果、関連するネットワークポリシーの決定またはブロックなどを含めて Codex ログを検査します。この分析結果はセキュリティチームに提示され、期待されるエージェントの動作、悪意のないミスタイク、そして真にエスカレーションを要する活動を見分けるためのレビューが行われます。

私たちは、運用面でも同じテレメトリ操作を利用しています。これらのログを用いて、内部での採用状況の変化、使用されているツールや MCP サーバーの種類、ネットワークサンドボックスがブロックまたはプロンプトを表示する頻度、そしてまだ調整が必要な展開箇所の特定を行っています。これらの OpenTelemetry ログは、SIEM やコンプライアンス記録システムに集約して管理することが可能です。

今後の展望

Codex などのコーディングエージェントが開発ワークフローに統合されるにつれ、セキュリティチームにはこの変化を管理するために特別に設計されたツールが必要です。Codex は、安全な導入を保証するために必要な制御面、設定管理、サンドボックス機能、そして詳細なエージェント認識型のテレメトリを提供します。これらの機能を整えることで、セキュリティチームは開発者の生産性と、エンタープライズセキュリティに必要な可視性および制御のバランスを取りながら、より高い自信を持って Codex の利用を許可できるようになります。

Codex の設定に関する詳細情報は こちら（新しいウィンドウで開く）にて、Compliance API については こちら（新しいウィンドウで開く）でご確認ください。