Codexの権限設定 — 「実行していいですか」で止まらない、4つの承認方法の選び方

Codexが確認で止まるのは「枠」を越えるときだけ

Codexの安全の仕組みは2つの組み合わせです。サンドボックス＝触ってよい範囲（枠）と、承認＝枠を越えるときに誰が判断するか。公式ドキュメントも、この2つを別々の制御として説明しています。

既定の枠の中、つまり作業フォルダ内のファイルの読み書きや、いつものコマンドの実行では確認は出ません。止まって確認を求めるのは、次のように枠の外へ出ようとしたときです。

• 作業フォルダの外にあるファイルを編集する
• インターネットを使うコマンドを実行する
• 外部ツール（MCP・アプリ連携）で、書き込みや削除など影響のある操作をする
• Computer useで、初めてのWebサイトやドメインにアクセスする

枠そのものの仕組み（OSの機能で強制されること、入力データの学習利用の扱いなど）はCodexのセキュリティで解説しています。本記事は、枠を越えるときの確認をどう減らすかに絞ります。

承認方法は4つ — 入力欄の下のメニューで選ぶ

承認方法は、ChatGPTデスクトップアプリ（Codex）の入力欄の下にある権限メニューで選びます。選択肢は次の4つです。CLIでは /permissions で切り替えます。

メニューを閉じたときの短い表示は「承認を依頼」「代わりに承認」などになります。大事なのは、「承認を求める」と「代わりに承認」は触れる範囲が同じという点です。違うのは、枠を越えるときに判断するのが人かAIか、だけです。

おすすめは「代わりに承認」— 確認を減らしても枠は広げない

「代わりに承認」は、枠を越える要求が出たとき、人の代わりに別のレビュー役のAIが実行してよいかを判定する方式です。公式ドキュメントはこれを「権限の付与ではなく、判断役の交代」と説明しています。枠の広さは「承認を求める」のまま変わりません。

1. 1Codexが作業中に、枠を越える操作（例: インターネットを使うコマンド）が必要になる
2. 2確認を人に出す代わりに、レビュー役のAIに判定を依頼する
3. 3レビュー役は、会話の流れと実行しようとしている操作を見て、許可か却下かを理由つきで返す
4. 4許可なら作業が続き、却下ならCodexはより安全な別の方法を探すか、止まってあなたに聞く

レビュー役が止めるように設計されているのは、公式ドキュメントによると次のような操作です。

• 秘密情報や認証情報を、信頼できない送信先に送る
• 認証情報・トークン・Cookieなどを探し回る
• セキュリティ設定を広く、または恒久的に弱める
• 取り返しのつかない損害につながるおそれの大きい破壊的な操作

却下されたあと、Codexは同じ結果を回り道で達成しようとしないよう指示されます。現在の実装では、1回のやりとりで3回続けて却下される（または直近50回の判定で10回却下される）と、その回の作業は打ち切られます。却下と再挑戦を延々と繰り返さない設計です。

初めて使う方がつまずきやすいのが、確認の多さです。都度確認のままだと、自分では判断しにくい内容を何度も聞かれ、よく読まずに許可を押す状態になりがちです。それでは確認がないのと変わりません。当社の研修教材でも、普段使いは「代わりに承認」を基本にしています。

「代わりに承認」の選び方と、選べないときの確認点

入力欄の下の権限メニューを開き、「代わりに承認」を選ぶだけです。「承認を求める」のまま確認が続くと、アプリから「承認の確認を減らしますか？」という案内が出ることもあります。「代わりに承認する」を押すと切り替わり、「手動承認を維持」なら今のままです。

この案内には「クレジットの使用量が増える場合があります」と書かれています。判定にもAIが動くぶん、利用量が増えることがあると理解しておきましょう。利用枠の考え方はCodexの使用制限で解説しています。

メニューで「代わりに承認」がグレーになっていて選べないときは、次の2つが考えられます。

• 作業フォルダの権限を独自に変えている — 表示は「このワークスペースではデフォルトのサンドボックス権限が必要です」。カスタム設定で枠を変えていると選べません
• 組織の管理者が承認方法を制限している — 表示は「Enterprise ポリシーで管理されています」「requirements.toml により無効になっています」など。会社の方針を管理者に確認します

メニューに「代わりに承認」自体が見当たらない場合は、アプリの「設定 > 一般」にある「権限」を確認してください。公式ドキュメントでは、ここで承認方法をメニューに表示する手順が案内されています（設定上の名前はAuto-review）。

「代わりに承認」でも自分で確かめたい4つの操作

公式ドキュメントは、自動レビューを「決定論的なセキュリティ保証ではない」と明記しています。判定するのはAIなので間違えることがあり、そもそも枠を越えない操作は判定の対象になりません。

そこで当社の研修教材では、次の4つは「代わりに承認」のままでも実行前に自分で中身を見るよう勧めています。

• お金が動く操作 — 決済・発注・請求書の発行など
• 社外への送信 — メール・チャットの送信、SNSやWebへの公開
• 消すと戻せない操作 — 作業フォルダの外のファイル削除、共有ドライブの上書き
• 顧客情報を扱う作業 — 個人情報を含むファイルを外部サービスへアップロードする

やり方は、依頼文に「送信・削除の前に止まって、内容を見せてください」と一文足すだけです。毎回書くのが手間なら、AGENTS.mdに同じルールを書いておくと、タスクのたびに読み込まれます。

指示ではなく仕組みで確実に止めたい場合は、特定の操作の直前に処理を差し込めるCodexのフック（Hooks）が使えます。

確認がめんどくさくても「フルアクセス」をおすすめしない理由

「フルアクセス」は、枠（サンドボックス）も確認（承認）も外す設定です。公式は、PC上のどのファイルでも編集でき、ネットワークを使うコマンドを承認なしに実行できるため、データの損失・漏えい・予期しない動作のリスクが大幅に高まると警告しています。

見落とされがちなのは、フルアクセスにすると「代わりに承認」のレビューも働かなくなることです。枠を越える要求そのものが発生しないので、判定する機会がありません。確認を減らしたいなら、変えるべきは確認の担い手であって、枠ではありません。

フルアクセスは、アプリの「設定 > 一般」の権限で「入力欄にフルアクセスを表示」をオンにしないとメニューに出ません。オンにするのはメニューに加えるだけで、選ぶと入力欄に「フルアクセスがオンです」という警告が表示されます。

CLIの --dangerously-bypass-approvals-and-sandbox（通称 --yolo）も、枠と確認をまとめて外すオプションです。ヘルプにも「EXTREMELY DANGEROUS」とあり、外側に別の隔離環境がある特殊な自動化以外では使いません。

同じ確認で何度も止まるなら、その操作だけを許可する

同じ安全な操作で毎回止まるなら、枠を丸ごと外すのではなくその操作だけを個別に許可するのが公式の勧める方法です。決まった集計コマンドだけを許可する、といった狭いルールを足します。考え方はスケジュール実行の権限設計で紹介しています。

場面別の選び方

会社で使うなら「フルアクセスを使わない」を設定で決めておく

個人の判断に任せると、確認を面倒に感じた人がフルアクセスを選んでしまうことがあります。組織で使う場合は、管理者が選べる承認方法をあらかじめ絞っておくのが確実です。

公式ドキュメントでは、管理者向けの設定ファイル requirements.toml でフルアクセスを選択肢から外し、判断役を自動レビューに固定する例が紹介されています。制限された選択肢は、メンバーのメニューでグレー表示になります。

決めた方針は、承認方法だけでなく扱ってよいデータや社外送信のルールとセットで共有します。決めるべき項目の全体像はCodexのセキュリティ、導入の段取りはCodexの組織導入手順で解説しています。

当社のCodex研修・導入伴走支援では、権限設定を座学で終わらせず、実際の業務で「どこで止め、どこを任せるか」を一緒に決めるところまでご支援しています。