Codex の --full-auto は何をするのか:承認とサンドボックスの中身

codex --full-auto は「全部自動でやる」という名前に見えますが、実際にはワークスペースの中だけ自由にしてよいという設定です。ワークスペースの外に書き込んだり、ネットワークに出たりすることは、サンドボックスによって引き続き制限されます。

内部で設定される内容

--full-auto は、次の 2 つをまとめて指定する省略形です。

設定	値	意味
サンドボックス	workspace-write	カレントディレクトリ配下と一時領域だけ書き込み可。ネットワークは既定で不可
承認ポリシー	自動承認寄り(バージョンにより on-failure 相当)	サンドボックス内で実行し、失敗したときだけ確認する

正確な組み合わせはバージョンで変わることがあるため、codex --help の記載を確認してください。

何が自動で、何が制限されるか

操作	--full-auto での扱い
ワークスペース内のファイル読み書き	自動
ワークスペース内でのコマンド実行(テスト、ビルド)	自動
ワークスペース外への書き込み(~/.ssh など)	サンドボックスが拒否
ネットワーク(npm install、curl)	既定で拒否。失敗時に「サンドボックス外で再実行してよいか」を確認
Git のコミット	自動(ワークスペース内)
git push	ネットワークが必要なため、既定では失敗して確認が入る

「npm install が失敗した」という場面では、確認に答えて許可すればサンドボックス外で再実行されます。毎回聞かれるのが煩わしければ、config.toml でネットワークだけ許可します。

config.toml で固定する

approval_policy = "on-failure"
sandbox_mode = "workspace-write"

[sandbox_workspace_write]
network_access = true

これで --full-auto を付けなくても同じ挙動になり、ネットワークも許可されます。ネットワークを許可すると外部へのデータ送信も可能になるため、信頼できるリポジトリでだけ使ってください。

使うべき場面・避けるべき場面

場面	判断
テストが整備されたリポジトリでのリファクタリング	向いている。テストが通るまで自律的に進められる
lint エラーの一括修正	向いている
初めて触るコードベースの調査	--sandbox read-only の方が安全
本番の認証情報がある環境	避ける。サンドボックスは読み取りを制限しない
CI での完全自動実行	-a never との組み合わせを検討。使い捨て環境が前提

対話中に切り替える

セッション中に /approvals を実行すると、承認モードを切り替えられます。調査だけで始めて途中から実装に移るときに使います。

まとめ

• --full-auto は「ワークスペース内は自動、外とネットワークは制限」の省略形
• ネットワークが必要な操作は失敗して確認が入る。network_access = true で許可できる
• サンドボックスは読み取りを制限しないため、秘密情報はワークスペース外に置く
• 調査は read-only、テストが整ったリポジトリのリファクタリングは --full-auto が向いている