Codex の --full-auto は何をするのか:承認とサンドボックスの中身

codex --full-auto は「全部自動でやる」という名前に見えますが、実際にはワークスペースの中だけ自由にしてよいという設定です。ワークスペースの外に書き込んだり、ネットワークに出たりすることは、サンドボックスによって引き続き制限されます。

もう 1 点先に押さえておきます。公式ドキュメントは現在 --full-auto を非推奨としており、代わりに codex exec --sandbox workspace-write を案内しています。フラグ自体は動作するため、何に相当するかを知っておくと置き換えられます。

内部で設定される内容

--full-auto は、次の 2 つをまとめて指定する省略形です。

設定	値	意味
サンドボックス	workspace-write	カレントディレクトリ配下と一時領域だけ書き込み可。ネットワークは既定で不可
承認ポリシー	on-request	既定値。サンドボックスの外に出る操作とネットワークアクセスで確認する

承認ポリシーに指定できる値は、2026 年 10 月 4 日時点の設定リファレンスでは on-request、never、そして granular オブジェクトの 3 つです。ドキュメントには「untrusted はサポートされず、on-failure は非推奨。対話的な実行には on-request、非対話的な実行には never を使うこと」と書かれています。

granular は、確認の種類ごとに「出す / 自動で拒否する」を決める書き方です。

[approval_policy.granular]
sandbox_approval = true      # サンドボックスのエスカレーション確認を出す
rules = true                 # execpolicy の prompt ルールによる確認を出す
mcp_elicitations = true      # MCP の elicitation を自動拒否せず出す
request_permissions = true   # request_permissions ツールからの確認を出す
skill_approval = true        # スキルスクリプトの承認確認を出す

false にした種類は確認が出ず、自動的に拒否されます。

何が自動で、何が制限されるか

操作	--full-auto での扱い
ワークスペース内のファイル読み書き	自動
ワークスペース内でのコマンド実行(テスト、ビルド)	自動
ワークスペース外への書き込み(~/.ssh など)	サンドボックスが拒否
ネットワーク(npm install、curl)	既定で拒否。失敗時に「サンドボックス外で再実行してよいか」を確認
Git のコミット	自動(ワークスペース内)
git push	ネットワークが必要なため、既定では失敗して確認が入る

「npm install が失敗した」という場面では、確認に答えて許可すればサンドボックス外で再実行されます。毎回聞かれるのが煩わしければ、config.toml でネットワークだけ許可します。

config.toml で固定する

approval_policy = "on-request"
sandbox_mode = "workspace-write"

[sandbox_workspace_write]
network_access = true

これで --full-auto を付けなくても同じ挙動になり、ネットワークも許可されます。ネットワークを許可すると外部へのデータ送信も可能になるため、信頼できるリポジトリでだけ使ってください。

使うべき場面・避けるべき場面

場面	判断
テストが整備されたリポジトリでのリファクタリング	向いている。テストが通るまで自律的に進められる
lint エラーの一括修正	向いている
初めて触るコードベースの調査	--sandbox read-only の方が安全
本番の認証情報がある環境	避ける。サンドボックスは読み取りを制限しない
CI での完全自動実行	-a never との組み合わせを検討。使い捨て環境が前提

対話中に切り替える

セッション中に /approvals を実行すると、承認モードを切り替えられます。調査だけで始めて途中から実装に移るときに使います。

まとめ

• --full-auto は approval_policy = "on-request" と sandbox_mode = "workspace-write" の省略形。公式は非推奨とし codex exec --sandbox workspace-write を案内している
• ネットワークが必要な操作は失敗して確認が入る。network_access = true で許可できる
• サンドボックスは読み取りを制限しないため、秘密情報はワークスペース外に置く
• 調査は read-only、テストが整ったリポジトリのリファクタリングは --full-auto が向いている