Codexのサンドボックスとは？AIに安全にコードを任せる仕組み
Codexのサンドボックスとは、AIエージェントがコードの実行やファイルの編集を行うときに、操作できる範囲をあらかじめ制限しておく「隔離された実行環境」のことです。AIが想定外の操作をしても、被害が及ぶ範囲をその枠の中に閉じ込められます。
まず前提として、Codexとは、OpenAIが提供するAIコーディングエージェント（人間の指示を受けて自律的にコードを書き、実行する仕組み）です。ターミナルで動くCLI（Command Line Interface、コマンドで操作するツール）版や、エディタの拡張機能、クラウド版などの形態があります。これらはいずれも、AIが実際にコマンドを実行したりファイルを書き換えたりする点が、単に文章を生成するチャット型AIとの大きな違いです。
関連記事：Codexとは？OpenAIコーディングAIの仕組みやChatGPTとの違い、導入の落とし穴を解説
サンドボックスが果たす役割
サンドボックスという言葉は、もともと「子どもが安全に遊べる砂場」を指します。砂場の中なら自由に遊んでも周囲に影響しないのと同じように、AIが多少行儀の悪い動きをしても、決められた範囲の外には影響が出ないようにするのがサンドボックスの役割です。
具体的には、AIが触れてよいファイルの場所、ネットワークに接続してよいかどうか、コマンドを実行してよい範囲などを制御します。これにより、利用者はAIに作業を任せつつ、重大な事故を未然に防げます。
なぜ「とりあえず動かす」前に仕組みを知るべきか
AIコーディングエージェントは便利な一方で、人間が一つひとつ確認しないまま大量の操作を実行できてしまいます。だからこそ、どの範囲まで自動で動くのかを利用者が把握しておくことが、安心して使い始めるための前提になります。サンドボックスの仕組みを理解しておくと、後述するモード選びや設定の判断がしやすくなります。
なぜCodexにサンドボックスが必要なのか｜AIにコード実行を任せるリスク
サンドボックスが必要な理由は、AIにコード実行を任せること自体に、いくつかのリスクが伴うからです。AIは指示を誤解したり、学習データに沿って「よかれと思って」想定外の操作をしたりすることがあります。たとえば「不要なファイルを整理して」と頼んだだけのつもりが、必要なファイルまで削除されてしまう、といった行き違いも起こり得ます。人間なら一呼吸おいて確認する場面でも、AIはそのまま実行してしまうことがあるためです。
AIにコード実行を任せる主なリスク
代表的なリスクとして、次の3つが挙げられます。
- 破壊的な操作：必要なファイルを誤って削除・上書きしてしまう
- 情報漏えい：APIキーや認証情報などの機密情報を読み取り、外部に送信してしまう
- 不正コードの実行：信頼できないコードやコマンドを実行し、開発環境そのものが攻撃を受ける
こうしたリスクは、AIが悪意を持っているかどうかとは関係なく発生します。指示の解釈ミスや、Webから取り込んだ不正な指示（プロンプトインジェクションと呼ばれる攻撃手法）によっても起こり得ます。とくに外部から取得した文章やコードを扱うときは、その中に紛れ込んだ指示にAIが従ってしまうリスクが高まります。
サンドボックスは「安心して使う」ための仕組み
サンドボックスは、こうした「うっかり」と「悪用」の両方に対する防波堤として機能します。「AIを信用しない」ための仕組みではなく、「AIを安心して使うために、被害が出る範囲をあらかじめ狭めておく」ための仕組みです。この前提を押さえておくと、過度に怖がることも、無防備に使うこともなく、適切な距離感でCodexを扱えます。実際の開発では、AIに任せる範囲を少しずつ広げながら、サンドボックスで安全を担保していくのが基本的な進め方になります。
Codexサンドボックスの仕組み｜OSレベルの隔離とファイル・ネットワーク制御
Codexのサンドボックスは、OS（オペレーティングシステム、WindowsやmacOSなどの基盤ソフト）が持つ機能を使って、AIの操作範囲を技術的に制限します。アプリ側のルールだけでなく、OSの仕組みで制御する点が安全性の土台になっています。
ファイルシステムへのアクセス制御
1つ目の柱が、ファイルへのアクセス制御です。Codexは、AIが読み書きできるディレクトリ（フォルダ）の範囲を限定します。たとえば、作業中のプロジェクトフォルダの中だけ書き込みを許可し、その外側にあるシステムファイルや個人ファイルには触れさせない、といった制御です。これにより、関係のない場所を誤って書き換える事故を防ぎます。
ネットワークアクセスの制御
2つ目の柱が、ネットワークアクセスの制御です。サンドボックスの多くのモードでは、AIが外部のインターネットに接続することを既定で禁止します。ネットワークを遮断しておくと、機密情報を外部に送信したり、外部から不正なコードを取得したりするリスクを大きく下げられます。ライブラリのインストールなどで通信が必要な場合は、利用者が明示的に許可する運用が基本です。
OSごとに異なるサンドボックス技術
3つ目の柱として、サンドボックスの実現方法はOSによって異なります。macOSでは、OSに備わったSeatbelt（sandbox-execとも呼ばれる隔離機能）を利用します。Linuxでは、Landlockやseccompといったカーネルレベルのアクセス制御を組み合わせます。Windowsでは、より新しいバージョンでネイティブのサンドボックス機構に対応が進んでいます。利用者がこれらの技術名を覚える必要はありませんが、「OSの正式な機能で守られている」という点を知っておくと安心材料になります。
これらのファイル制御・ネットワーク制御・OSレベルの隔離が組み合わさることで、Codexは「許可した範囲でだけ動くAI」として運用できます。
Codexサンドボックスの3つのモードと承認ポリシー
Codexのサンドボックスには、操作できる範囲が異なる3つのモードがあります。用途やリスク許容度に応じて使い分けるのが基本です。あわせて、AIの操作にどこまで人間の確認を挟むかを決める「承認ポリシー」も理解しておくと、安全性と効率のバランスを取りやすくなります。
下の表は、各モードの権限範囲とネットワークの扱い、想定される使いどころを整理したものです。read-onlyからdanger-full-accessに進むほど自由度は上がりますが、その分リスクも高まります。今やりたい作業に必要な最小限の権限を選ぶのが、安全に使うコツです。
| モード | ファイルの書き込み | ネットワーク | 主な使いどころ |
|---|---|---|---|
| read-only | 不可（読み取りのみ） | 既定で不可 | コードの調査・説明・レビューなど、変更を伴わない作業 |
| workspace-write | 作業フォルダ内のみ可 | 既定で不可 | コードの修正・テスト実行など、通常の開発作業 |
| danger-full-access | 制限なし | 可能 | 制約のない環境での実行（信頼できる範囲に限定） |
read-only（読み取り専用）
read-onlyは、AIがファイルの読み取りだけを行えるモードです。コードを書き換えたり、変更を伴うコマンドを実行したりはできません。既存のコードの内容を調べてほしい、処理の流れを説明してほしい、といった調査やレビューの用途に向いています。最も安全なモードのため、Codexを初めて試すときの出発点として適しています。
workspace-write（作業フォルダ内の書き込み可）
workspace-writeは、現在の作業フォルダ（ワークスペース）の中に限ってファイルの読み書きを許可するモードです。コードの修正やファイルの追加、テストの実行など、通常の開発作業はこのモードで進められます。一方で、作業フォルダの外への書き込みや、外部ネットワークへの接続は既定で制限されます。多くの開発シーンでは、このモードが現実的な落としどころになります。
danger-full-access（制限なし）
danger-full-accessは、サンドボックスによる制限をかけず、ファイルもネットワークも自由に扱えるモードです。自由度は高い一方、AIの操作がそのまま環境全体に及ぶため、リスクも最大になります。すでに隔離されたコンテナ環境を使うなど、外側で別の安全策がある場合に限って選ぶのが妥当で、安易に常用するモードではありません。
承認ポリシーとの組み合わせ
モードと並んで重要なのが、承認ポリシー（Approval Policy）です。これは、AIがコマンドを実行する前に、人間の承認をどこまで求めるかを決める設定です。たとえば、信頼できない操作のときだけ確認を求める、コマンドが失敗したときだけ確認を求める、毎回確認しない、といった段階を選べます。
サンドボックスのモードで「動ける範囲」を決め、承認ポリシーで「人間が口を挟むタイミング」を決める、と整理すると分かりやすくなります。最初のうちは、workspace-writeで動かしつつ、重要な操作では承認を求める設定にしておくと、効率と安全のバランスを取りやすくなります。
Codexサンドボックスの設定方法｜config.tomlとプラットフォーム別の注意点
Codexのサンドボックスは、設定ファイルやコマンドの起動オプションで切り替えられます。利用環境に合わせて、自分のデフォルトの動き方を決めておくと、毎回の確認の手間を減らせます。
関連記事：Codex の Web 検索を有効化する方法｜config.toml の設定と環境別の手順
config.tomlでの設定
CLI版のCodexでは、設定ファイル（config.toml）にサンドボックスのモードや承認ポリシーを記述できます。たとえば、サンドボックスのモードを指定する項目（sandbox_mode）と、承認ポリシーを指定する項目（approval_policy）を組み合わせて、自分の標準的な動作を定義します。プロジェクトごとに異なる設定をしたい場合は、起動時のオプションで一時的に上書きすることも可能です。
設定を変更する際は、いきなりdanger-full-accessにするのではなく、read-onlyやworkspace-writeから始めて、必要に応じて権限を広げる進め方が安全です。最小限の権限から始める考え方は、セキュリティの基本原則とも一致します。
プラットフォーム別の注意点
設定や挙動は、利用しているOSによって細かな差があります。macOSやLinuxでは、前述のOS標準の隔離機能を使ってサンドボックスが動作します。Windowsでは、より新しいバージョンでネイティブのサンドボックス対応が進んでおり、利用しているバージョンによって使える機能が異なる場合があります。
そのため、設定どおりに動かないと感じたときは、まず自分が使っているCodexのバージョンとOSの組み合わせを確認するのが近道です。最新の正確な仕様は、OpenAIの公式ドキュメントで確認することをおすすめします。仕様はアップデートで変わることがあるため、重要な設定ほど一次情報にあたる習慣をつけておくと安心です。
他のAIコーディングツールとのサンドボックス比較
Codex以外にも、AIがコードを実行・編集するツールは増えており、それぞれに安全のための仕組みがあります。Codexのサンドボックスの位置づけを理解するために、代表的なツールとの違いを大まかに整理します。
下の表は、主要なAIコーディングツールが、どのような形で操作範囲を制御しているかをまとめたものです。細かな仕様は各ツールのアップデートで変わるため、ここでは「どんな考え方で安全性を担保しているか」という大枠を比較しています。共通しているのは、いずれも「AIに任せきりにせず、利用者が許可した範囲で動かす」という発想です。
| ツール | 提供元 | 安全性の主な仕組み |
|---|---|---|
| Codex | OpenAI | OSレベルのサンドボックス（3モード）＋承認ポリシー |
| Claude Code | Anthropic | 権限管理と操作ごとの承認、許可設定 |
| GitHub Copilot | GitHub | エディタ統合中心で、エージェント実行時に確認を挟む |
| Gemini CLI | ターミナルでの実行時に承認や制限を設定 |
このように、各ツールは「実行前の承認」と「操作範囲の制限」という2つの軸で安全性を設計している点が共通しています。Codexの特徴は、OSの隔離機能を使ったサンドボックスを3つのモードで明確に分け、承認ポリシーと組み合わせて細かく制御できる点にあります。どのツールを選ぶ場合も、まずは制限の強いモードから試し、慣れてきたら権限を広げていく進め方が、安全に使い始めるための共通のコツです。
関連記事：Claude Code と Codex の違い｜5 つの観点で整理し用途別に選び分ける
Codexサンドボックスを使うときの注意点とトラブルシューティング
Codexのサンドボックスは安全に役立つ一方で、制限があるがゆえに「思ったように動かない」と感じる場面もあります。あらかじめ注意点を知っておくと、つまずいたときに原因を切り分けやすくなります。
ネットワーク遮断による失敗
よくあるのが、ネットワークが遮断されているために、ライブラリのインストールや外部APIの呼び出しが失敗するケースです。これはサンドボックスが正しく機能している証拠でもあります。通信が必要な作業では、ネットワークアクセスを明示的に許可するか、その作業だけ別の手順で実行する運用が現実的です。
書き込みが拒否されるケース
次に多いのが、書き込みが拒否されるケースです。作業フォルダの外にファイルを生成しようとしたり、read-onlyモードのまま修正を依頼したりすると、操作がブロックされます。この場合は、自分が今どのモードで動いているかを確認し、必要に応じてworkspace-writeに切り替えると解決することが多くあります。
エラーを避けるために権限を上げすぎない
注意点として、エラーを避けたいからといって最初からdanger-full-accessを常用するのは避けたほうが安全です。制限によるエラーは、AIの動作範囲を可視化してくれるサインでもあります。まずは制限の強いモードで動かし、本当に必要な権限だけを段階的に開けていく姿勢が、結果的に事故の少ない使い方につながります。
AIコーディングエージェントを導入するときに陥りがちな3つの落とし穴
ここまでサンドボックスの仕組みを見てきましたが、AIコーディングエージェントを実務に取り入れる段階では、技術以前のつまずきも起こりがちです。よくある3つの落とし穴を押さえておくと、無理のない導入につながります。
落とし穴1：いきなり全てをやろうとする
1つ目は、最初から多くの業務をAIに任せようとして、かえって設定や検証が追いつかなくなるパターンです。対象を欲張ると、サンドボックスの設定や結果の確認に手が回らなくなります。
落とし穴2：壮大な構想から考えて手が止まる
2つ目は、全体の理想像を描くことに時間をかけすぎて、実際の導入が進まないパターンです。完璧な計画を立てる前に、まず小さく動かしてみるほうが学びは早く得られます。
落とし穴3：既製のチャット型AIでは業務に組み込めない
3つ目は、汎用のチャット型AIをそのまま使おうとして、自社の業務フローに合わせた精度や安全性に届かないパターンです。既製品はカスタマイズが難しく、実際の業務に組み込めるレベルにならないことがあります。
スモールスタートで1業務をAIエージェントに任せる
これらを避ける近道は、最初から大きく構えず、スモールスタートで1つの業務をAIエージェントに任せてみることです。Codexのサンドボックスのように、制限の強い状態から始めて少しずつ範囲を広げる進め方は、業務全体への展開でも有効です。まず小さく試し、安全性と効果を確かめてから広げていくことで、無理なく定着させられます。こうした1業務単位でのスモールスタートを支援するパートナーをお探しの場合は、AIエージェント構築支援サービスもご検討ください。
Codexサンドボックスのよくある質問（FAQ）
ここでは、Codexのサンドボックスに関してよく寄せられる質問に簡潔に回答します。
Codexのサンドボックスは何のためにありますか？
AIが想定外の操作をしても被害が及ぶ範囲を限定し、安全にコードの実行やファイル編集を任せるためにあります。ファイルの破壊や情報漏えい、不正なコードの実行といったリスクを抑える役割を担います。
サンドボックスにはどのモードを使えばよいですか？
調査やレビューだけならread-only、通常の開発作業ならworkspace-writeが基本です。danger-full-accessは制限がなくリスクも高いため、別の安全策がある環境に限って使うのが安全です。
サンドボックスを有効にすると何ができなくなりますか？
多くのモードでは、作業フォルダの外への書き込みや外部ネットワークへの接続が既定で制限されます。通信が必要な作業では、ネットワークアクセスを明示的に許可する運用が必要です。
WindowsとmacOSで挙動は違いますか？
サンドボックスの実現方法はOSによって異なり、macOSやLinuxはOS標準の隔離機能を使います。Windowsは新しいバージョンでネイティブのサンドボックス対応が進んでいるため、利用バージョンによって使える機能が変わる場合があります。
まとめ
Codexのサンドボックスとは、AIエージェントが操作できる範囲をあらかじめ制限し、安全にコードの実行やファイル編集を任せるための隔離環境です。ファイルアクセス・ネットワーク・OSレベルの隔離という3つの仕組みで、想定外の操作による被害を未然に防ぎます。
実際に使う際は、read-only・workspace-write・danger-full-accessの3つのモードと承認ポリシーを理解し、自分の用途に必要な最小限の権限から始めるのが安全です。設定はconfig.tomlやコマンドオプションで切り替えられ、OSによって挙動が異なる点にも注意しておくと、つまずきを減らせます。
AIコーディングエージェントの活用は、最初から大きく構えるよりも、制限の強い状態で1業務から小さく試し、安全性と効果を確かめながら広げていく進め方が現実的です。まず1つの業務で成果を確かめることが、無理のない定着への第一歩になります。
AI活用の第一歩を踏み出したい方へ
本記事で紹介したように、AIエージェントは安全な仕組みを理解したうえで、小さく試すことから始めるのが成功への近道です。自社の業務でも具体的に進めたい、何から手をつければよいか相談したいとお考えの方は、ぜひGiftX AIエージェント構築支援までお問い合わせください。
GiftX AIエージェント構築支援では、貴社の業務に合わせて1業務単位のスモールスタートから本番運用まで、AIエージェント構築をワンストップで支援します。ユースケースの洗い出しから、検証、本番運用、社内へのナレッジ共有まで伴走します。
AI活用にご関心のある方は、ぜひ一度ご相談ください。
▶ GiftX AIエージェント構築支援の詳細・お問い合わせはこちら
