OpenAIは、自社のAIプログラム代理Codexを安全にデプロイする方法を公開しました。核心戦略は「サンドボックスによる実行境界の制限 + 低リスク行動の自動承認 + AI安全分類代理による警告処理」で、開発効率と企業のセキュリティ管理を両立させています。 （前提：OpenAI Codexの大規模アップグレード：Macのバックエンド操作、内蔵ブラウザ、画像生成、111個の新しいプラグインがリリースされました） （背景補足：OpenAIが新たにエンジニア代理人Codexを発表！AIが機能を書く、バグを修正する、テストを実行する） OpenAIは今週、企業の内部デプロイメントレポートを公開し、自社の安全チームが生産環境でCodexをどのように実行しているかを説明しました。これは実際の操作記録であり、サンドボックス設定から警告分類まで、大規模組織がAI代理を採用する際に、セキュリティ管理がカバーすべき側面を明らかにしています。 サンドボックスは境界を定義し、承認メカニズムは何時停止するかを決定します。OpenAIは公式発表の中で、Codexをデプロイするための核心原則は一つだけであると指摘しています。代理が明確な技術的境界内で高効率を維持し、低リスクな行動はユーザーを中断させず、高リスクな行動は必ずレビューのために停止する必要があります。この原則が実施された後、二つの補完的なメカニズムに分解されました：サンドボックスと承認戦略。 サンドボックスはCodexの実行空間を定義し、どのパスに書き込むことができるか、外部のネットワーク接続を許可するか、どのシステムディレクトリが保護されるかを管理します。サンドボックス外でのアクションは、承認プロセスに入る必要があります。ユーザーは特定の操作を一度に承認するか、同様の操作を作業セッション全体で自動的に承認することができます。 日常的な操作に対して、OpenAIは「自動審査モード」（Auto-review mode）を有効にしました。この機能は、Codexが計画しているアクションと最近の操作の背景を、「自動承認サブ代理」に送信します。サブ代理が低リスクと判断すれば、ユーザーのワークフローを中断せずに直接通過させます；高リスクまたは潜在的な予期しない結果があると判断された場合のみ、人間による確認に昇格します。 ネットワーク管理のロジックも同様です。Codexはオープンな外部接続を許可するものではなく、OpenAIはCodexの正常なワークフローで接触が必要なターゲットドメインのリストを維持しています。リスト外のドメインはデフォルトでブロックされ、未知のドメインに遭遇した場合は承認プロセスがトリガーされます。 身分証明も管理範囲に含まれています。CLIとMCP OAuthトークンはオペレーティングシステムの安全なキーストレージに保存され、ログインはChatGPT企業ワークスペースを強制的に通過し、Codexの操作はChatGPT企業版のコンプライアンスログプラットフォームに取り込まれます。安全チームは統一して確認できます。 どのコマンドが承認を免れるか、どのコマンドが直接ブロックされるか、OpenAIはすべてのシェルコマンドを同等のリスクとは見なさず、層別ルールを構築しています。エンジニアの日常開発でよく見られる無害なコマンドは、サンドボックス外で直接実行することを許可され、承認は不要です。特定の高リスクコマンドは、直接ブロックされるか強制承認されます。このルールは、三つのレイヤーで重ね合わせて効力を発揮します： クラウド管理の要求（管理者が強制実施し、ユーザーは上書きできません） macOSの管理設定 ローカルの要求設定ファイル この構造により、OpenAIは全社的な統一基準を維持しながら、チーム、ユーザーグループまたは環境の要求に応じて異なる設定の組み合わせをテストできます。同じ設定は、Codexデスクトップアプリ、CLIおよびIDE拡張など、すべてのローカルインターフェースに適用されます。 これは外部研究の背景と直接対比を成します：研究によると、AI生成のコードにセキュリティ脆弱性が発生する割合は、人間が書いたコードよりも57％高いです。GitHub Copilotは今年、CVSS 9.6の重大な脆弱性（CVE-2025-53773）が露見し、提示注入を介してリモートコード実行が可能でした。 これらのデータは、企業がAIコード代理を採用する際、対応する層別管理がなければ、露出面が予想を超えることを示しています。OpenAIのアプローチは、管理ロジックを設定層に組み込み、AI代理自体の判断に依存せず、ルールの実行を技術的事実とし、操作習慣に依存しないようにしています。 AI安全分類代理 OpenAIは公式発表で、セキュリティ管理がどんなに優れていても、デプロイ後には可視性が必要であると強調しています。従来のセキュリティログは「何が起こったか」を回答できます。たとえば、特定のプログラムが起動した、特定のファイルが変更された、特定のネットワーク接続が試みられた等ですが、セキュリティ担当者が本当に知る必要があるのは「Codexがなぜそうしたのか」と「これはユーザーの本来の意図なのか」です。 OpenAIはCodexがOpenTelemetryログ出力をサポートするようにし、記録範囲には：ユーザーのプロンプト、ツールの承認決定、ツールの実行結果、MCPサーバーの使用状況、ネットワーク代理の許可または拒否イベントが含まれています。企業や教育機関の顧客は、OpenAIのコンプライアンスプラットフォームを通じてこれらのログにアクセスすることもできます。 さらに重要なのは、OpenAI内部ではこれらのログが「AI安全分類代理」に接続されています。エンドポイント検出ツールがCodexの疑わしい行動を発見し警告をトリガーすると、このAI分類代理は関連するCodexログを自動的に取得し、元のリクエスト、ツール活動、承認決定、ツール結果、ネットワークポリシーの関連記録を再構築します。分析レポートを生成した後、セキュリティチームにレビューのために送信し、これは正常な代理行動か、無害な誤操作か、あるいは本当に処理が必要なイベントかを判断するのを支援します。同じ遥測データは内部運営分析にも使用されます：内部採用のトレンドを追跡し、最も頻繁に使用されるツールやMCPサーバーを理解し、ネットワークサンドボックスのブロックおよびトリガー頻度を評価し、どの部分のデプロイ設定を調整する必要があるかを判断します。これらのOpenTelemetryログは、SIEMおよびコンプライアンスログシステムに集中してインポートできます。 AI代理のセキュリティにまだ関心を持つ組織にとって、このレポートはガイドラインのようなものです：もしあなたのデプロイメントプランがこの四つのレベルをカバーしていないなら、リスクがそこに潜んでいる可能性があります。 関連報道 OpenAI CodexのChrome拡張機能がリリースされ、ログイン状態でコンピュータを操作可能に OpenAIがClaude Code「引越しツール」を発表、ユーザーが無痛で移行可能に Codex OpenClawとHermes Agent、どちらをインストールするべきか？AI代理入門、実践的なハンズオンチュートリアル OpenAIが新たにエンジニア代理人Codexを発表！AIが機能を書く、バグを修正する、テストを実行する..先着3種類のユーザーに先行利用 OpenAIが100ドルのChatGPT Pro半額サブスクリプションプランを発表：Codexの使用量は既存のPlusの5倍で開発者を奪取"OpenAIがCodexを安全に使用する方法：サンドボックスの境界、自動承認、安全分類、完全な企業デプロイメントフレームワーク"この記事は最初に動区BlockTempo（動区動趨-最も影響力のあるブロックチェーンニュースメディア）に掲載されました。