Sandbox (サンドボックス)

ローカルのチャットでエージェントが実行するコマンドは、既定ではフルアクセスではなく、制約された環境の中で動きます。この環境が、どのファイルを変更できるか、コマンドがネットワークを使えるかといった、エージェントが自分の判断で行える範囲を定めます。

Sandbox は技術的な境界を定め、承認ポリシー (approval policy) は、その境界を越える前にエージェントが止まって確認を求めるタイミングを決めます。承認はアクションの前に Codex が一時停止するタイミングを、サンドボックスはコマンドがアクセスできるファイルとネットワーク資源を、それぞれ担います。

承認済みの境界の中では、エージェントは低リスクのコマンドを 1 つずつ確認させずに、ファイルの読み取り、編集、プロジェクトの通常のコマンドの実行を行えます。既定の権限モードでは、サンドボックスが自動で適用されます。

自動レビュー (Automatic review) は、使える場合でもサンドボックスの境界を変えません。サンドボックス内ですでに許可されている操作は、追加のレビューなしで実行されます。

サンドボックスのモード (sandbox_mode) は次の 3 つです。

• read-only: ファイルを調べることはできますが、承認なしにファイルの編集やコマンドの実行はできません。
• workspace-write: ファイルの読み取り、ワークスペース内の編集、境界内での通常のローカルコマンドの実行ができます。ローカル作業向けの既定のモードです。
• danger-full-access: サンドボックスの制限なしで動き、ファイルシステムとネットワークの境界が外れます。

承認ポリシーでは、on-request を選ぶとエージェントは既定でサンドボックス内で作業し、境界を越える必要があるときに確認を求めます。never では承認の確認で止まりません。approvals_reviewer は、確認をユーザーに表示する user (既定) と、対象の承認確認をレビュー用のエージェントに回す auto_review から選べます。

フルアクセスは sandbox_mode = "danger-full-access" と approval_policy = "never" の組み合わせです。よりリスクの低いローカル自動化の組み合わせは sandbox_mode = "workspace-write" と approval_policy = "on-request" で、CLI では --sandbox workspace-write --ask-for-approval on-request に当たります。

切り替えは、ChatGPT デスクトップアプリや IDE 拡張機能では入力欄の下にある権限の操作から行います。設定によって、Ask for approval (承認を求める)、Approve for me (代わりに承認)、Full access (フルアクセス)、名前付きまたはカスタムの権限プロファイルが表示されます。CLI では /permissions で権限の選択画面を開き、使用中の権限プロファイルを変更します。毎回同じ動作で始めたい場合は、config.toml に既定値を設定します。

Codex は OS ごとにプラットフォーム固有の仕組みで制限をかけます。実装は macOS、Linux、WSL2、ネイティブの Windows で異なります。

• macOS: 組み込みの Seatbelt フレームワークを使い、追加の準備なしで動作します。
• Linux: ファイルシステムの分離に bubblewrap、システムコールのフィルタリングに seccomp を使います。PATH 上で最初に見つかった bwrap を使い、見つからない場合は同梱のヘルパーに切り替えます。このヘルパーには、非特権ユーザー名前空間の作成のサポートが必要です。bwrap が無い場合や、ヘルパーが必要なユーザー名前空間を作成できない場合は、起動時に警告が表示されます。
• Windows: PowerShell で実行するとネイティブの Windows sandbox を、WSL2 で実行すると Linux のサンドボックス実装を使います。

• danger-full-access はファイルシステムとネットワークの境界を外すモードです。フルアクセスは、このモードと approval_policy = "never" の組み合わせを指します。
• 承認されたコマンドでも、明示的なファイルシステムの拒否は保持されます。書き込み可能なルート配下の .aws ディレクトリは既定で保護されます。
• Windows MXC サンドボックスは、管理された要件 (managed requirements) で無効化できます。利用者側のオプトアウトもあり、ローカルの MXC サンドボックスを優先するオプトインの設定もあります。
• レガシーな Windows サンドボックスをアンインストールする CLI コマンドがあります。
• Windows の /sandbox-add-read-dir スラッシュコマンドは削除されました。

Linux と WSL2 でサンドボックスを使う前の準備の手順です。

1. パッケージマネージャーで bubblewrap をインストールします。
2. Ubuntu 24.04 で、bubblewrap のインストール後も必要なユーザー名前空間を作成できないという警告が出る場合は、追加の AppArmor プロファイルをコピーして読み込みます。
3. そのプロファイルが使えない、または問題が解消しない場合は、AppArmor の非特権ユーザー名前空間の制限を無効化できます。