CodexやClaude Codeの自動承認は、作業範囲が限定され、失敗しても戻せるときにだけ検討しましょう。 フルアクセスや承認を大きく省く危険なモードは、普段使っているパソコンや本番環境で便利だからという理由だけで有効にしないことが基本です。

ただし、「承認画面が出ない＝すぐ危険」「自動承認＝必ずフルアクセス」でもありません。 設定した作業範囲の内側では、通常のモードでも確認なしにファイルを書き換えることがあります。大切なのは、何が自動で進むか、どこまでアクセスできるか、どう戻すかを分けて確かめることです。

この記事では、AIへファイル編集やコマンド実行を任せる初心者向けに、安全な自動化の考え方とCodex・Claude Codeの主な違いを説明します。公式情報は2026年10月15日に確認しました。特定のパソコンで危険モードを実行して安全性を実測した記事ではありません。

ざっくり言うと

設定・使い方の目安何が起こる？初心者の判断
読む・計画するだけ内容を調べ、変更案を出す。通常は実ファイルを書き換えない迷ったらここから始める
範囲を限って編集を進める決められた作業場所では、ファイル編集などが確認なしで進む場合がある練習用のコピーで、バックアップを取ってから
承認を省き、広いアクセスも許すファイル・コマンド・ネットワーク操作などの危険が大きくなる通常の仕事では避ける。専門家が十分に隔離した環境でも慎重に扱う

これは理解のための3つの使い方であり、どの製品にも同じ名前の「3段階スイッチ」があるわけではありません。承認方法とアクセス範囲は、別々に設定できることがあります。

イメージ

1. 車のクルーズコントロールで考える

AIの自動化を、車のクルーズコントロールに例えてみましょう。

見通しのよい道路では便利でも、人や障害物が多い道では自分で注意して操作します。AIのファイル編集でも、周囲の状況への注意は必要です。行き先だけでなく、「どの道を走ってよいか」を先に決める必要があります。

  • 見通しのよい道
    練習用に複製したフォルダ内の文章を整える作業。
  • 注意が必要な道
    実際に使うアプリの設定ファイルや、複数人が編集する資料。
  • 普段は自動走行させない道
    本番サーバー、顧客情報、パスワード、公開・送信・支払いが関わる操作。

ここでの例えには限界もあります。車ならブレーキを踏めても、AIが外部へ送った情報や、すでに削除されたデータは、その場で止めても元に戻らない場合があります。 そのため「いつでも停止できる」だけでは不十分です。

正確には

2. 先に分けたいのは「承認」と「アクセス範囲」

AI作業ツールには、少なくとも次の2種類の制御があります。

確認するものどういう意味？例
承認の設定操作の前に人へ確認するかフォルダ外へ書こうとしたときに承認を求める、承認なしで進める
サンドボックス・権限技術的にどこまで操作できるか作業フォルダ内だけ書ける、ネットワークへ接続できる、制限が外れる

承認を求めない設定にしても、技術的な制限がそのまま残る構成があります。 逆に広い権限を与えても、承認ルールが別に残る場合があります。「自動承認を入れたか」だけでなく、両方の設定を確認してください。

「確認が出ない」ときも、必ず異常とは限らない

読み取り専用の操作や、すでに許可された範囲の編集なら、確認が出ずに正常に実行される場合があります。一方、前は承認が出ていた重要な操作が突然止まらなくなったなら、設定や許可ルール、起動時の指定が変わっていないか確認します。

ここで重要なのは見た目の承認回数ではなく、実際に許された操作です。

3. Codexで混同しやすい設定

Codexでは、サンドボックスと承認ポリシーが分かれています。OpenAIの公式資料では、代表的に次のように説明されています。

項目何を制御する？注意点
read-only読み取り中心の作業範囲実ファイルを直してもらう段階ではない
workspace-write主に作業場所内の書き込みを許可作業場所内の編集は毎回承認されるとは限らない
danger-full-accessコマンドのファイル・ネットワーク制限を大幅に外す通常の作業には推奨しない
on-request必要な境界を越える操作で承認を求めるもともと許された範囲内の編集は自動で進む場合がある
never承認画面を出さないこれだけでフルアクセスになるわけではない。制限内で進むか、実行できない操作が出る

普段の開発では、範囲を限定した workspace-write と必要時の承認が一つの基準になります。Codexの標準的なAuto設定でも、作業フォルダ内の読み取り・編集・コマンド実行は確認なしで進む場合があります。

自動レビューも「すべての操作を見る」機能ではない

CodexのAuto-reviewは、人の承認を求める対象になった操作の一部を、別のレビュアーが評価する仕組みです。もともと承認が不要な作業場所内の編集まで、毎回レビューするわけではありません。自動レビューがあるから、差分確認やバックアップが不要になるわけではないと覚えてください。

開発ツールの設定や名称は更新されるため、実際に使うCodexのバージョンと/permissionsや/statusなどの表示を確認してください。

4. Claude Codeでは何が自動になる？

Claude Codeの公式資料にも、複数の承認方法が案内されています。代表的な設定は以下です。

権限モード主な動き勘違いしやすい点
default（Manual）操作に応じて確認を求める読み取り操作などには確認が出ない場合がある
acceptEdits作業場所内のファイル編集や、一部のファイル操作を自動で許可「削除・移動まで必ず確認」とは限らない
auto対応環境で、バックグラウンドの安全確認により操作を自動承認危険がゼロになる保証ではない
bypassPermissions多くの権限確認を省く十分に隔離されたコンテナや仮想マシンなど以外では使わないのが公式の注意

acceptEditsは、文字の修正だけを自動にするとは限りません。公式資料では、作業範囲内のmkdir・touch・mv・cpなど、一部のファイル操作も対象です。どの操作が自動化されるかは、現在のバージョンと許可ルールを確認します。

Claude Codeでは/permissionsから許可・確認・拒否のルールを確認できます。指示文に「削除しない」と書くことと、ツール側で削除を拒否することは別です。重要な禁止事項はツールの権限設定や実行環境の制限でも守ります。

5. 自動化を試してよい場面・止めるべき場面

具体的な場面推奨する進め方理由
コピーした練習用ファイルの表記ゆれを直すコピー先に限定して編集を試す変更先が分かり、元に戻しやすい
自分の開発用リポジトリで文言や表示を調整範囲を限定し、Gitの差分とテストを確認変更を追跡しやすい。ただし未追跡ファイルは別に保護が必要
共有フォルダにある請求書を大量に変更まず変更計画と対象一覧。実行前に人が承認他の人の作業に影響し、同期も起こり得る
本番サイトを更新・公開、外部へメールを送信実行前に送信先や差分を人が確認公開や送信は後から完全に取り消せない
.envやAPIキー、顧客名簿が読める場所AIの作業範囲から外す誤送信だけでなく、情報を読み取れること自体が危険になり得る

「自分が作業の所有者だから安全」とは限りません。 クラウド同期フォルダや本番へ接続された作業場所では、ローカルの小さな変更が別の場所へ広がることがあります。

また、Webページやリポジトリ内の文章には、AIをだまして別の操作をさせるプロンプトインジェクションが紛れ込む可能性があります。権限を広く渡すほど、そうした不正な指示が実際のファイル操作や情報流出につながる影響も大きくなります。

6. 使う前の5つのチェック

自動承認を一段上げる前に、次の5つを確認してください。

  1. 対象を絞ったか。 元の業務フォルダではなく、関係するファイルだけを集めた作業コピーを用意したか。
  2. 秘密情報を外したか。.env、認証情報、顧客情報、外部アカウントの接続を必要最小限にしたか。
  3. 戻す方法があるか。Gitのコミットや別場所のバックアップを作り、実際に戻せるか確認したか。単に同じ同期フォルダへコピーするだけでは足りない場合がある。
  4. 行ってよい操作を決めたか。 対象ファイル、許可する編集、禁止する削除・公開・送信を具体化したか。
  5. 検品できるか。 作業終了後に変更ファイル一覧・差分・テスト結果を確認できるか。

1つでも大きく曖昧なら、承認を緩める前に「まず計画と変更予定ファイルだけを出して」と頼むほうが安全です。

AIへの依頼文の例

以下は作業内容を明確にするための文例です。これを書いただけで、OSやツールの権限が強制的に制限されるわけではありません。

作業対象は、指定した練習用フォルダ内だけです。
まず対象ファイルと変更予定を一覧にしてください。
削除、外部送信、インストール、公開は実施しないでください。
変更前後の差分を確認できる形で報告してください。
対象外へのアクセスが必要なら、実行せず理由を説明してください。

ツール側でも、実際の読み書き範囲・ネット接続・承認ルールを確認したうえで実行します。手順書やプロンプトだけを唯一の安全装置にしないでください。

7. 承認画面が出なくなったら何をする？

まず、実際に承認が必要な操作だったかを確認します。読み取りだけの処理や、元から許可されたフォルダ内の操作なら、確認なしで進むことがあります。

以前なら確認が必要だった編集・外部アクセス・送信が無確認で実行されるようになった場合は、作業を中止して次を点検します。

  1. 現在のモードを確認する。Codexなら使用中の権限・サンドボックス表示、Claude Codeなら/permissionsなどを見ます。
  2. 永続的な許可を確認する。 前に「今後は確認しない」を選んだ履歴や、ユーザー・プロジェクト単位の設定がないか調べます。
  3. アクセスできる範囲を確かめる。 作業ディレクトリ、追加許可した場所、ネットワーク接続、外部サービスの認可を確認します。
  4. 最小限へ戻す。 必要な範囲だけに絞り、心当たりのない許可ルールを見直します。アプリの再起動だけで保存済みの設定が消えるとは限りません。
  5. 予期しない操作があれば履歴を調べる。 変更ファイル、送信先、コマンド履歴を調べ、必要に応じて機密情報の保護や専門担当者への相談を行います。

何が許可されているか確かめられない状態では、実ファイルの編集を再開しないでください。

8. 完了報告を見ただけでは終わりにしない

AIが「編集しました」と返しても、結果が正しいかは別です。

  • 変更一覧
    指定していないファイルが変更・作成・削除されていないか。
  • 差分
    指示した部分以外の文章、数式、設定まで変わっていないか。
  • 表示
    Webページなら実際の画面、文書なら開いた状態、必要ならスマホ表示も確認したか。
  • 動作
    アプリならテストを実行し、エラーがないか確かめたか。
  • 外部への影響
    送信、公開、同期、購入、権限変更が起きていないか。
  • 復元
    問題が見つかったとき、作業前の状態へ戻せるか。

自動化で確認を減らすなら、事前の作業範囲を狭め、事後の検品を省かないことが欠かせません。

よくある質問

やってみよう

判断クイズ

第1問

練習用のコピーで作業しています。AIの承認画面が出ませんが、予定どおり編集できています。まず何を確かめる？

  • A. 承認が出ないので、すべてのファイルが自由に読めると断定する。
  • B. 現在のモードと作業範囲を確認し、意図した許可内の操作か確かめる。
  • C. 問題がないと決めつけて、本番にも同じ設定を適用する。

第2問

自動化を試す前に、顧客データのある同期フォルダしか手元にありません。最初にすべきことは？

  • A. 実データから離れた練習用コピーを作り、秘密情報を除いて範囲を限定する。
  • B. 作業が速くなるのでフルアクセスを有効にする。
  • C. AIに「安全にして」と書けば、権限設定を確認しなくてよい。

第3問

AIへ「対象フォルダ以外は触らない」と書きました。安全対策として正しい理解は？

  • A. 指示文があれば、外部への書き込みも技術的に必ず禁止される。
  • B. 許可設定は不要なので、どんな接続先でも使ってよい。
  • C. 指示文に加え、実際のファイル権限・ネット接続・承認設定を制限する。

あわせて読みたい

締めに

まとめ

自動承認を使うかどうかは、便利そうかではなく「操作できる範囲・戻せるか・あとで確認できるか」で決めます。
  • 迷ったら
    読み取り・計画から始める。
  • 小さく試すなら
    コピーした作業場所に権限を限定し、バックアップと差分確認を用意する。
  • 本番・顧客情報・外部送信では
    必要な人の承認を残す。
  • フルアクセスでは
    普段のPCや本番環境では避ける。隔離環境でも十分な検証を行う。
  • 承認が消えたら
    まず設定を確認する。見た目の承認回数だけで安全性を判断しない。

「小さく任せて、あとで確かめる」。 自動化を使うときの基本です。