OpenAI、Windows版Codex向け独自サンドボックスの設計を公開

ローカル環境で自律型AIにコードを書かせるのは、初対面の相手に自分のPCをログイン状態のまま渡すような危うさがあります。macOSやLinuxには手軽で安全な隔離機能が用意されている一方で、Windows版のCodexユーザーは長い間、過酷な二者択一を迫られていました。ファイルを1回読み取るたびに承認ボタンを押すか、それとも制限を完全に外してPC全域の変更を許可するかです。

OpenAIのエンジニアであるDavid Wiesen氏は2026年5月13日、Windows版Codex向けに専用サンドボックスをゼロから自前構築した技術的背景を明かしました。同氏が2025年9月にチームへ合流した当時、Windows版にはサンドボックスが存在せず、利便性と安全性の両立が完全に破綻していたといいます。

マイクロソフト純正の機能がすべて使えなかった理由

コーディングエージェントを安全に動かすには、指定した作業フォルダ以外への書き込みを止め、勝手な外部通信を遮断する仕組みが不可欠です。しかし、WindowsにはLinuxのbubblewrapやmacOSのSeatbeltに相当する、手軽で汎用的な隔離ツールが標準では備わっていません。

OpenAIのチームはまず、Windows標準の3つの機能を検証しましたが、いずれも不採用に終わりました。

1つ目のAppContainerは、事前にアクセス先が確定しているアプリ向けの仕組みです。シェル、Git、Python、コンパイラなどを柔軟に呼び出すCodexのような開発ワークフローには適していませんでした。

2つ目のWindows Sandboxは軽量VMとして強力な隔離を提供しますが、ホスト環境のファイルや既存ツールから切り離された使い捨てデスクトップであるため、日々の開発作業と繋ぐのが極めて困難でした。さらに、Windows Homeエディションでは利用できないという製品上の致命的な欠点もありました。

3つ目の強制整合性制御（MIC）は、Codexを低整合性レベルで実行し、作業フォルダも低整合性に設定する案でした。しかしこれを行うと、PC上のあらゆる低整合性マルウェアが開発者のコードを改ざんできるようになってしまい、リポジトリが危険に晒されるため断念せざるを得ませんでした。

管理者権限なしで読み書きと通信を封じる独自手法

既存の手段を諦めたチームは、ユーザーにUAC（管理者権限）の昇格ダイアログを出させないことを大前提に、独自のサンドボックス設計に着手しました。

ファイル書き込みの制限には、仮想的なセキュリティ識別子（Synthetic SID）と書き込み制限トークンを組み合わせました。書き込み制限トークンを使うと、通常のユーザー権限に加えて、制限リスト内のSIDの許可も揃わない限り書き込みが成立しなくなります。

Codexはこの仕組みを使い、sandbox-writeという専用の仮想SIDを発行しました。現在の作業ディレクトリと設定で明示されたフォルダだけに書き込みを許可し、同時にフォルダ内の.gitや.codexなどの重要領域への書き込みを拒否リストで保護しています。

一方、管理者権限なしではWindowsファイアウォールを制御できないため、ネットワークの制限には苦肉の策が採られました。プロキシ環境変数をすべて無効なポートへ向け、GitのSSHコマンドを即座にエラー終了させ、PATHの先頭にダミースクリプトを配置して標準的な通信経路を塞ぐアプローチです。

この方法は日常的な開発ツールの誤通信をほぼ遮断できますが、プロセスが環境変数を無視して直接ソケット通信を開いた場合には防ぎきれないという制約を残しています。

なぜ重要か

日頃Windowsで開発を行っているユーザーにとって、このアップデートは実用性を劇的に引き上げるものです。これまでのように無数の承認ポップアップに邪魔されることもなく、PC全体を危険に晒すフルアクセスモードに頼る必要もなくなります。ようやくMacやLinuxと同等の安心感を持ってCodexに作業を任せられる環境が整いました。

業界全体を見渡すと、AIエージェントの進化におけるボトルネックが、モデルの知能そのものからローカル実行環境の権限管理へ移行していることが浮き彫りになりました。OS自体が自律型エージェントの柔軟な操作を想定して作られていないため、アプリケーション開発側がOSの低レイヤーを無理やり組み合わせて安全策を講じる事態になっています。

管理者権限を要求せず導入のハードルを下げたOpenAIの判断は非常に現実的でスマートです。しかし、ネットワークの制限が環境変数の上書きというアドバイザリーな手法に留まっている点は、依然としてセキュリティ上の懸念事項と言えます。マイクロソフト公式が一般ユーザー向けに軽量な権限分離APIをOS標準で提供しない限り、この手のツールを巡る安全性と利便性の綱引きは今後もしばらく続きそうです。