Codex CLI v0.164 で追加された /presets と /permissions の引数指定と権限プロファイル

Codex CLI の v0.164.0 は、ここ数バージョンでは珍しく新機能が複数入ったリリースです。中心は /presets と、/permissions の引数指定です。

後者は単なる入力の短縮ではありません。背後にあるのは 権限プロファイル という beta の仕組みで、従来の sandbox_mode とは併用できません。これを知らずに設定すると、意図した側が無視されます。

/presets でプロンプトを 10 枠に保存する

リリースノートの記述は「Save reusable prompts and slash commands in ten numbered /presets slots, with a keyboard menu for quick access」です。

再利用するプロンプトとスラッシュコマンドを、番号付きの 10 個のスロットに保存します。呼び出しはキーボードのメニューからです。毎回打ち直していた定型の指示を置く場所ができた、という変更です。

もう 1 つの入力まわりの追加が /model と /permissions の引数指定です。「Set model, reasoning effort, speed, and permission profiles directly with inline /model and /permissions arguments」と書かれています。メニューを開いて選ぶ代わりに、コマンドの引数で直接指定できます。

/permissions が切り替える権限プロファイル

/permissions の引数で選ぶ 権限プロファイル は、公式ドキュメントに専用のページがある beta の機能です。「A profile is a named policy that combines filesystem rules, which define what commands can read or write, with network rules, which define which destinations commands can reach」と説明されています。

組み込みのプロファイルは 3 つです。

プロファイル	内容
:read-only	ローカルのコマンド実行を読み取り専用に保つ
:workspace	有効なワークスペースルートとシステムの一時ディレクトリ内への書き込みを許可する
:danger-full-access	ローカルのサンドボックスの制限を外す。広いアクセスを意図する場合のみ

独自のプロファイルは [permissions.<名前>] の下に定義し、トップレベルの default_permissions で選びます。

default_permissions = "project-edit"

[features]
network_proxy = true

[permissions.project-edit.workspace_roots]
"~/code/app" = true
"~/code/shared-lib" = true

[permissions.project-edit.filesystem]
":minimal" = "read"

[permissions.project-edit.filesystem.":workspace_roots"]
"." = "write"
".devcontainer" = "read"
"**/*.env" = "deny"

[permissions.project-edit.network]
enabled = true

[permissions.project-edit.network.domains]
"api.openai.com" = "allow"
"*.github.com" = "allow"
"tracking.example.com" = "deny"

**/*.env を deny にしているところが実用上の肝です。ワークスペース内への書き込みを許しつつ、環境変数ファイルだけを除外できます。

権限プロファイルと sandbox_mode は併用できない

ここが移行時に引っかかる点です。公式ドキュメントの記述は「Permission profiles do not compose with the older sandbox settings. Configure either default_permissions and [permissions], or sandbox_mode / sandbox_workspace_write, but not both」です。

判定は片方に倒れます。sandbox_mode が 読み込まれた設定ファイルのどこかにある、--sandbox を渡した、あるいは選択した設定プロファイルが sandbox_mode を設定している場合、Codex は default_permissions ではなく従来のサンドボックス設定を使います。

つまり、昔書いた sandbox_mode が ~/.codex/config.toml に残ったままだと、新しく書いた権限プロファイルは黙って無視されます。移行するなら先に古い設定を消してください。従来の approval_policy と sandbox_mode の組み合わせは Codex の approval_policy と sandbox_mode の組み合わせ にまとめてあります。

資格情報のマスクとそのほかの修正

セキュリティ関係では 2 つ入りました。1 つは「Mask credentials during supported remote Bash commands and Zsh snapshot sessions」で、リモートの Bash コマンドと zsh のスナップショットのセッションで資格情報が伏せられます。カスタムプロバイダの資格情報も対象です。もう 1 つは「Hardened sandbox checks for case-variant metadata paths on macOS and replaceable symlinks used to locate executables」で、macOS の大文字小文字が異なるメタデータのパスと、実行ファイルの探索に使われる置き換え可能なシンボリックリンクに対する判定が固められました。

修正では次の 3 つが目を引きます。

• 失敗したコンパクションが、会話の履歴に中途半端な要約を残さなくなった
• セッションの再開が、圧縮された履歴を見つけ、保存されたスレッドの設定を復元するようになった
• Windows の HTTPS と WebSocket が、サインイン中のユーザーの資格情報でプロキシ認証に応答するようになった

このほか、企業向けの MCP 接続を Codex のアカウント権限か専用のサインインで認証できるようになり、Amazon Bedrock のセットアップウィザードが既定で有効になりました。前リリースの内容は Codex CLI v0.163 で Daybreak が既定に戻った変更点 を参照してください。

まとめ

• /presets で、再利用するプロンプトとスラッシュコマンドを番号付きの 10 枠に保存できる
• /model と /permissions が引数での直接指定に対応した
• /permissions が選ぶ権限プロファイルは beta の機能で、組み込みは :read-only / :workspace / :danger-full-access の 3 つ
• 権限プロファイルと sandbox_mode は併用できない。sandbox_mode が残っているとそちらが使われる
• /presets と /permissions は公式のスラッシュコマンド一覧では確認できなかった