Running Codex safely at OpenAI｜OpenAI における Codex の安全な実行

AI システムの能力が高まるにつれ、それらはますますユーザーに代わって行動するようになります。コーディングエージェントは、リポジトリの自動レビュー、コマンドの実行、開発ツールとの対話などを自律的に行うことができます。これらは以前は人間の直接実行を必要としていたタスクです。 Codex においては、組織が安全に導入するために必要な制御機能とともに、これらの能力を設計しました。セキュリティチームには、エージェントの動作を管理する方法が必要です：何にアクセスできるか、いつ人間の承認が必要か、どのシステムと対話できるか、そしてその行動を説明するテレメトリ（監視データ）が存在するかです。 OpenAI においては、Codex を以下の明確な目標をもって展開しています。エージェントを明確な技術的範囲内に留め、開発者が低リスクのアクションでは迅速に進められるようにし、高リスクのアクションについては明示的な承認を得る仕組みとすることです。また、エージェントが何を行ったかを理解・監査できるよう、ネイティブなテレメトリ（監視データ）も維持します。具体的には、管理された設定、実行制限、ネットワークポリシー、そしてエージェント固有のログがそれにあたります。 ## Codex の動作制御 Codex を展開する際の基本的な原則は、限定された環境内では生産性を発揮し、日常的な低リスクのアクションは摩擦なく行え、高リスクのアクションについてはレビューのために停止させることです。 承認とサンドボックスは連携して機能します。サンドボックスは、Codex が書き込みを行える場所、ネットワークにアクセスできるかどうか、どのパスが保護されるかといった技術的な実行境界を定義します。一方、承認ポリシーは、Codex がアクションを実行する際にユーザーの許可を求める必要があるタイミング（例えば、サンドボックス外の作業が必要な場合など）を決定します。ユーザーは特定のアクションを一度だけ承認することも、そのセッション中に同種のアクションを一律に承認することも可能です。 日常的な承認リクエストについては、「自動レビューモード」を採用しています。この機能をオンにすると、特定の種類のリクエストが自動的に承認されるため、Codex のアクションに対してユーザーが停止して承認を行う頻度を減らすことができます。Codex は計画されたアクションと直近の文脈を自動承認サブエージェントへ送信し、低リスクのアクションについてはユーザーへの中断を避けて自動的に承認します。これにより、Codex は日常的な作業を継続しつつ、高リスクや予期せぬ結果を伴うアクションに対しては停止する仕組みとなっています。 Codex を開放的な外部接続アクセスで実行することはありません。管理されたネットワークポリシーでは、期待される宛先を許可し、Codex への到達を禁止したい宛先をブロックするとともに、見慣れないドメインについては承認を要求します。これにより、Codex は一般的な既知のワークフローを完了できるようになりますが、広範なネットワークアクセス権限は付与されません。 また、Codex の認証方法も管理しています。CLI および MCP の OAuth 資格情報は、安全な OS キーリングに保存され、ログインは ChatGPT を経由して強制され、アクセスは当社の ChatGPT エンタープライズワークスペースに固定されます。これにより、Codex の利用がワークスペースレベルの制御と紐付けられ、エンタープライズワークスペースにおける Codex の活動が ChatGPT コンプライアンスログプラットフォームで確認可能になります。 Codex がすべてのシェルコマンドを同様に安全とはみなさないよう、ルールを採用しています。エンジニアが日常の開発で使用する一般的な無害なコマンドは、サンドボックス外でも承認なしに実行できますが、特定の危険なコマンドはブロックするか、承認を必要とします。これにより、Codex は通常のエンジニアリングタスクでは迅速に進めつつ、サンドボックス外で実行したくないパターンについてはレビューを強制したりブロックしたりすることが可能になります。 このポリシーは、クラウド管理による要件、macOS 管理設定（managed preferences）、およびローカル要件ファイルの組み合わせを通じて適用されます。要件とは、ユーザーが上書きできない管理者によって強制される制御です。macOS の管理設定とローカルの要件ファイルにより、チーム、ユーザーグループ、または環境ごとに異なる構成をテストしつつ、一貫したベースラインを維持できます。これらの構成は、デスクトップアプリ、CLI、IDE 拡張機能を含むローカル Codex のすべてのインターフェースに適用されます。 ## エージェントネイティブなテレメトリと監査証跡 制御は仕事の半分です。エージェントが展開された後、セキュリティチームにはこれらのエージェントが何をしているのか、そしてなぜそうしているのかを可視化する必要があります。従来のセキュリティログは Codex によるアクションを確認する際に依然として有用ですが、主に「何が起きたか」——プロセスの開始、ファイルの変更、ネットワーク接続の試行など——に答えるものです。なぜ Codex がその行動をとったのか、あるいはユーザーの意図は何だったのかを防御側が自ら推測しなければならない状況が残されています。 Codex はセキュリティチームに対して、よりエージェントを意識した視点を提供できます。Codex は、ユーザーのプロンプト、ツールの承認決定、ツールの実行結果、MCP サーバーの使用状況、ネットワークプロキシによる許可または拒否イベントなど、さまざまな Codex イベントに対する OpenTelemetry ログエクスポートをサポートしています。また、Enterprise および Edu カスタマー向けには、OpenAI コンプライアンスプラットフォームを通じて Codex のアクティビティログも利用可能です。 OpenAI では、Codex ログを AI 駆動のセキュリティトライアージエージェントと共に使用しています。エンドポイントアラートで Codex が不審な行動をとったと示された場合、エンドポイントセキュリティツールは疑わしいイベントが発生したことを知らせてくれます。その後、Codex ログがユーザーおよびエージェントによる周囲の意図を説明する手助けをします。当社の AI セキュリティトライアージエージェントは、Codex ログを使用して、元のリクエスト、ツールのアクティビティ、承認決定、ツールの結果、および関連するネットワークポリシーの決定やブロックを調査します。この AI セキュリティトライアージエージェントが分析結果をセキュリティチームに提示し、期待されるエージェントの動作、悪意のないミスタイク、そして実際にエスカレーションが必要となる活動を見分けるためのレビューを行います。 私たちは、運用面でも同じテレメトリ操作を利用しています。これらのログを用いて、内部での採用状況の変化、使用されているツールや MCP サーバーの種類、ネットワークサンドボックスがブロックまたはプロンプトを表示する頻度、そしてまだ調整が必要な展開箇所を把握します。これらの OpenTelemetry ログは、SIEM やコンプライアンス記録システムに集約することも可能です。 ## 今後の展望 Codex などのコーディングエージェントが開発ワークフローに統合されるにつれ、セキュリティチームにはこの変化を管理するために特別に設計されたツールが必要です。Codex は、安全な導入を保証するために必要な制御面、設定管理、サンドボックス機能、そして詳細なエージェント認識型テレメトリを提供します。これらの機能を整えることで、セキュリティチームは開発者の生産性と企業セキュリティに必要な可視性・制御のバランスを取りながら、より高い自信を持って Codex の利用を許可できます。Codex の設定に関する詳細情報は [こちら](https://developers.openai.com/codex/config-basic)（新しいウィンドウで開く）に、Compliance API については [こちら](https://help.openai.com/en/articles/9261474-openai-compliance-platform-for-enterprise-and-edu-customers)（新しいウィンドウで開く）をご覧ください。

OpenAI における Codex の安全な実行

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト

背景や根拠まで確認しますか？

関連記事

ニュースの次に確認する

調べる

選ぶ

サイト