Codex CLIのfull-autoが非推奨に。既存スクリプトは書き換えが必要

Codex CLI 0.147.0 は、OpenAI が 2026年8月7日付で公開した Codex CLI の更新版です。エージェントにどこまで操作を任せるかを決める承認まわりが作り替えられ、従来の codex exec --full-auto は非推奨となりました。

📖 この記事で分かること

• Codex CLI 0.147.0 で --full-auto が非推奨になった
• 代わりに --sandbox workspace-write を明示指定する
• 新フラグ --approve-for-me で自動レビュー付き承認が可能
• シークレット秘匿とプラグイン隔離の強化が同時に入った

💡 知っておきたい用語

• サンドボックス: プログラムが触れる範囲をあらかじめ区切っておく仕組み。作業机の上だけを使わせ、引き出しには手を伸ばさせないイメージです

最終更新日: 2026年8月9日

▶ 公式ページ

• Codex CLI チェンジログ(ChatGPT Learn)

Codex CLI 0.147.0 で何が変わったか

この記事のポイント

• OpenAI が 2026年8月7日付で Codex CLI 0.147.0(2026年8月時点)を公開しました。
• codex exec --full-auto が非推奨となり、--sandbox workspace-write の明示指定に置き換わります。
• 新フラグ --approve-for-me で「自動レビューされた承認」を有効化できます。

OpenAI は Codex CLI 0.147.0 を公開しました。インストールは npm install -g @openai/codex@0.147.0 です。このリリースの中心は機能追加ではなく、エージェントにどこまで手を出させるかを決める承認まわりの作り替えにあります。

承認の作りが2本立てに変わる

これまで一括で自動実行させる用途に使われてきた codex exec --full-auto が非推奨になりました。公式チェンジログは代替として --sandbox workspace-write を使うよう案内しています。権限の広さをフラグ名の雰囲気ではなく、サンドボックスの範囲として明示させる形です。

同時に、新しい CLI フラグ --approve-for-me が追加されました。これは「自動レビューされた承認(automatically reviewed approvals)」を有効にするもので、承認を素通しにするのではなく、レビューを挟んだ上で通す位置づけになります。どのコマンドをどこまで自動で通すのかという具体的な線引きは、チェンジログには記載がありません。

前段として 0.146.1(2026年8月5日)では、サイバー能力を持つモデル向けに、より安全な自動レビューの既定値を適用し、権限変更をターミナル上で説明する修正が入っています。0.147.0 の変更は、この流れの上に載っています。

プラグイン、MCP、他ツールからの移行

ポータブルな Agent Plugins をインストールできるようになり、local / personal / workspace / remote のプラグインカタログを横断して検索できます。

MCP は、オプトインで 2026-07-28 プロトコルに対応しました。ページネーション付きのディスカバリ、マルチラウンドリクエスト、ノンブロッキングなサーバ起動を含みます。依存関係も MCP SDK 3.0.0、Ratatui 0.30.2、V8 150.4.0 へ更新されました。

他ツールからの移行面では、Cursor が管理するスキルをインポートでき、インポート済みの Claude・Cursor の会話を重複を作らずに同期できます。会話そのものも、永続的で手動並び替えが可能なセクションに整理でき、長いトランスクリプトを逐次読み込みで閲覧できるようになりました。クラウド側では Amazon Bedrock でキャッシュ付き web 検索とリモートの会話コンパクションが利用可能になっています。

同じリリースに入ったセキュリティ修正

承認まわりの変更と並んで、情報の漏れ方を塞ぐ修正が3点入りました。

• 表示されるコマンドと再生される会話履歴から、シークレットと bearer トークン全体を伏せる
• プラグインの隔離を強化し、ポリシー更新に失敗した場合はネットワークアクセスを拒否する
• 見慣れないローカルプロジェクトには明示的な信頼を要求し、認証情報を使う前に管理された認証の制限を強制する

いずれも、エージェントが自動で動く時間が延びるほど効いてくる種類の修正です。あわせて、冗長な Linux バンドルアーカイブの公開は停止されました。

編集部の見方

編集部は、このリリースで実務に一番効くのは --approve-for-me の追加ではなく、--full-auto の非推奨化だと見ています。新フラグは使うかどうかを選べますが、非推奨化は既に動いているものに手を入れさせるからです。

• 根拠1: codex exec --full-auto は CI やシェルスクリプトに書き込まれて放置されやすい種類のフラグです。移行先が --sandbox workspace-write と具体的に示されている以上、置き換え作業そのものは機械的に済みます。
• 根拠2: 権限の指定方法が「全自動かどうか」から「サンドボックスの範囲」へ移りました。書き換えの際に、そのジョブに本当に必要な範囲を一度決め直すことになります。
• 根拠3: シークレットと bearer トークンを表示と再生履歴から伏せる修正が同じリリースに入っており、自動実行の時間が延びる前提で足回りが固められています。

この見方が変わる条件は、--full-auto が非推奨のまま長く残る場合です。実際に削除される時期が示されていないため、削除が近いと分かった時点で書き換えの優先度は上がります。

よくある質問

Q: --full-auto は今すぐ使えなくなりますか?

A: 0.147.0 時点では非推奨であり、削除の時期はチェンジログに記載がありません。ただし公式は --sandbox workspace-write への置き換えを案内しています。

Q: --approve-for-me を付ければ承認が全部自動で通りますか?

A: 公式の説明は「自動レビューされた承認を有効にする」までで、どの操作をどこまで通すかの線引きは記載されていません。挙動は手元の環境で確認してください。

Q: Cursor から乗り換える場合、会話やスキルは持ち込めますか?

A: Cursor が管理するスキルをインポートでき、インポート済みの Claude・Cursor の会話は重複を作らずに同期できます。

まとめ

Codex CLI 0.147.0 は 2026年8月7日付で公開され、codex exec --full-auto が非推奨、--sandbox workspace-write が代替として案内されました。新フラグ --approve-for-me は自動レビューを挟んだ承認を有効にします。Agent Plugins の横断検索、MCP 2026-07-28 プロトコルへのオプトイン対応、Cursor からのスキル取り込みも同時に入っています。シークレットと bearer トークンの秘匿、プラグイン隔離の強化、未知プロジェクトへの明示的な信頼要求という3つのセキュリティ修正も同じリリースに含まれます。

【用語解説】

• Agent Plugins: エージェントに機能を後付けするための部品。カタログから探して入れる形になっています
• MCP【エムシーピー】: エージェントと外部ツールをつなぐための共通の取り決め。今回はページネーション付きの一覧取得などが加わりました
• bearer トークン: サービスへのアクセス権を示す文字列。持っている人がそのまま使えるため、画面表示に残ると危険なものです

引用元:

• [1] Codex CLI チェンジログ(ChatGPT Learn / OpenAI 公式)

この記事について: AI 支援で執筆、編集部が事実確認・編集しています。誤りや追加情報があれば Contact よりお知らせください。