権限・サンドボックス・ネットワーク・キー

Codex 学習目次に戻る

目標と準備

CLI 基礎と設定が前提です。依頼は意図、サンドボックスは技術的範囲、承認方針は追加確認条件を表します。「聞かない」は全場所への書込みではなく、読取り専用でも読取り命令は実行できます。

手順1：小さな権限教材を作る

codex-permissions-lab に note.txt と request.txt を作り、次の別々の例を入れます。架空の印だけで鍵、認証、本番は不要です。統合端末で Windows PowerShell は Get-Location、macOS／Linux は pwd を使って場所を確認し、現在地違いを権限判定と混同しません。

PERMISSION-LAB
Revision: 1

Only note.txt may be changed during the authorized write exercise.
Target revision: 2

note.txt の原文を残し、次の命令で今回だけの設定を使います。全体既定は変えません。/status と必要なら /permissions を確認します。組織制約で異なる場合はエラー要約を残し、管理ルールに従います。回避はしません。

codex --cd . --sandbox read-only --ask-for-approval on-request

手順2：読み取り後に書込み制限を確認

次の読取り依頼で印、Revision: 1、request.txt の範囲を確認します。on-request では許可済み読取りごとの承認は必須ではありません。実パスとエディター内容を比較し、依頼を繰り返すだけなら読取り検証には数えません。

Read note.txt and request.txt in the current lab. Report the actual working directory and exact revision. Do not change files, access unrelated folders or use the network.

次は昇格なしの教材編集を依頼します。制限の報告または承認要求があり、書込みは完了しないはずです。承認が出たら今回は拒否・取消し、エディターで1のまま確認します。モデルの「書けない」と OS が命令を拒否した証拠は別に記録します。

Try to change only note.txt from Revision: 1 to Revision: 2 using currently available permissions. Do not request broader access, disable protections or retry through another path. If the current sandbox prevents the write, report that and stop. This is a controlled permission exercise.

予期せず2になったら停止し、起動引数、実モード、アクセス拡大承認を確認してから判断します。手動で1へ戻し最小証拠を残します。デスクトップは別ホストや worktree の場合があるため、実行場所を確認します。

手順3：必要な作業領域編集を許可

/exit でシェルへ戻り、場所を確認して次の新セッションを起動します。作業領域の書込みを許可し、次を依頼します。note.txt の版だけ2、先頭行と request.txt は不変です。通信や外部編集は不要なので、追加要求があれば命令と理由を確認します。

codex --cd . --sandbox workspace-write --ask-for-approval on-request

Read note.txt and request.txt. Change only the revision line in note.txt from 1 to 2. Keep all other contents and files unchanged. No network or outside-workspace access is needed. After editing, read both files again and report the actual result.

エディターで両ファイルと前後値、範囲、承認、結果を記録します。.git、.agents、.codex などの保護場所は試しません。作業領域内の全パスが書けるとは限りません。技能や設定の指針に従い、保護回避の移動はしません。

拒否、制限の適用、書き込み成功を分ける

ツールを呼ぶ前に書けないと答えた場合は未試行、ツールが制限を報告してファイルも不変ならその試行の阻止証拠です。成功メッセージでもディスクが Revision: 1 のままなら場所と結果を調べ、完了と書きません。今回の普通ファイルの結果だけを記録し、全ツールや全 OS の保証へ広げません。

Requested action: [read / controlled write / scoped authorized write]
Observed host and absolute file path: [actual values]
Permission mode and approval policy: [observed / unavailable]
Tool attempt: [not attempted / command and actual result]
Approval event: [none / allowed / denied / cancelled / automatic review result]
Before and after: [actual note.txt revision and request.txt comparison]
Conclusion: [what this evidence establishes and what remains unverified]
Restoration: [actual result / not performed]

通信、資格情報、承認を区別する

内蔵検索、シェル通信、MCP、アカウント接続は別制御の場合があります。web_search 無効で全道具のオフラインを断言せず、ページ閲覧で npm 通信成功も保証しません。道具・ホスト・ドメインを特定して対処します。教材編集自体に外部通信は不要です。

承認では動作と対象を読み、教材読取り、依存追加、外部書込みを区別します。一回の承認は全面同意ではありません。自動審査なら判定と理由を記録します。人工画面がないことは審査なしを意味しません。never は対話承認を止め、隔離を解除しません。

鍵が必要なら正式ログインや秘密設定を使い、依頼、AGENTS.md、Git、画像へ入れません。設定有無と認証状態を確認し、全環境変数は出しません。公開した実鍵は発行元で取消・再発行し、露出コピーを削除します。会話削除だけでは失効しません。

よくある故障、復元と受入

公式資料では approval_policy = "untrusted" は廃止です。projects の trust_level とは別なので一括置換しません。設定切り分けで出所を特定し、対象を保存して対応方針へ移行します。

二つの起動の違い、実際の1→2、request.txt 不変で完了です。終了後 note.txt を手動で1へ戻し、次回権限も確認します。終了はファイル復元ではありません。図1は範囲、2は実行観察、3は復元確認です。各 OS 挙動は公式資料確認で、全 OS 実測や読者の承認実行は主張しません。

Codex 学習目次に戻る

詳しい説明を読む

Request to Permission to Action

• AIツール
• チュートリアル
• Codex