AIに承認を任せる機能が、Codex CLIに入りました。OpenAIが2026年8月7日に公開したCodex rust-v0.147.0は、--approve-for-meを追加しています。実行前の確認をAIが自動レビューする仕組みです。
便利なのは間違いありません。ただ、全業務で有効にする機能ではない。定型作業では確認待ちを減らせますが、公開、送信、削除、権限変更まで同じ扱いにすると事故の幅が広がります。中小企業が試すなら、まず「AIに任せてよい承認」を先に決めるべきです。
Codex v0.147.0で変わったこと
公式リリースの主な変更は、次の4点です。
- ローカル、個人、ワークスペース、リモートのカタログから、持ち運べるAgent Pluginを検索・導入できる
- 長い会話を手動で並べ替えられるセクションに分け、履歴を少しずつ読み込める
--approve-for-meで、承認を自動レビューできる- MCP 2026-07-28プロトコルに試験対応し、ページ分割された探索や複数回の要求、サーバーの非同期起動を扱える
目立つのは自動承認ですが、企業運用で効くのは周辺の安全対策も含めた組み合わせです。表示コマンドと再生履歴から秘密情報やBearer Tokenを伏せる修正、未知のローカルプロジェクトに明示的な信頼を求める修正、ポリシー更新に失敗したときネットワーク接続を拒否する修正も入りました。
自動承認は「確認をなくす機能」ではない
実装PR #36373が追加したのは、AIによる承認レビューです。人が毎回Yesを押す代わりに、Codexが要求内容を見て進めてよいか判断します。
ここで設計を間違えると、速くなった分だけ事故も速くなります。私は、承認対象を次の2層に分けるのが現実的だと見ています。
| 扱い | 対象例 | 運用 |
|---|---|---|
| AI承認の候補 | テスト実行、読み取り、作業フォルダ内の一時ファイル生成 | 対象ディレクトリとコマンドを限定して試す |
| 人の承認を残す | 本番公開、メール送信、削除、決済、権限変更、外部へのデータ転送 | 実行直前に担当者が確認する |
境界は会社ごとに違います。ただし、取り消しにくい操作と外部に影響する操作は、人が手綱を持つ。この線は崩さないほうがいい。
承認より先に、秘密情報の通り道を見る
自動承認を使う前に確認したいのが、コマンド履歴とネットワークです。今回のリリースでは、PR #36893などにより、表示されるコマンドや会話の再生履歴から秘密情報を伏せる処理が強化されました。
それでも、マスキングは最後の防波堤です。APIキーをプロンプトに貼らない。秘密情報はSecret Managerや権限を絞った環境変数から渡す。実行ログに値を残さない。この3つを先に整えます。
ネットワーク側では、PR #37027を含む修正でPluginの分離が強化され、ポリシー更新に失敗した場合は通信を拒否する挙動になりました。設定取得に失敗したとき、古い許可のまま動き続けるより安全です。
日本語の現場には地味な修正が効く
PR #35960などでは、日本語、絵文字、リンク、画面端の文字について、表示位置やカーソル位置が修正されました。ターミナルの表示崩れは小さな問題に見えますが、コマンドの一部を読み違えると確認作業そのものが危うくなります。
日本語の指示やファイル名を扱う会社では、更新後に次を確認してください。
- 長い日本語の指示を貼り付けても文字が欠けないか
- 全角・半角が混じるファイル名でカーソル位置がずれないか
- 確認画面のURLやコマンド末尾が画面外で壊れないか
小さく試すなら、この順番
- 検証用リポジトリを1つ用意し、本番の認証情報を入れない
- テスト、Lint、読み取りなど、失敗しても戻せる操作だけを対象にする
--approve-for-meあり・なしで、確認回数と作業時間を記録する- 拒否すべき操作が通らないか、削除や外部送信を模したテストで確かめる
- 問題がなければ、定型の開発作業へ範囲を広げる
判断基準は単純です。確認回数が減っても、担当者が後から実行理由を追えないなら採用しない。操作、判断理由、結果がログに残り、危険な処理は止まる。その状態になって初めて、承認の委譲が仕事の仕組みになります。
まとめ
Codex v0.147.0は、AIが作業するだけでなく、その作業を進めてよいかまでレビューする段階に入りました。Plugin、MCP、会話整理も、長く動かすAIの業務環境を作るための更新です。
最初に試すのは、テスト実行の自動承認で十分です。公開や削除まで一気に渡す必要はありません。AIに任せる範囲を狭く決め、ログで追える状態を作る。速さは、その後についてきます。