公式の「Full access」とは：権限モードの1つ
OpenAIの公式ドキュメント「Permissions」では、ChatGPT デスクトップアプリと Codex（CLI・IDE拡張）が、ファイルの編集、コマンドの実行、インターネットの利用といったパソコン上の操作をどこまで自分で進めるかを「権限モード」で選ぶと説明されています。Full access（フルアクセス）は、そのうち最も制限の少ないモードです。
| モード | 触れる範囲 | 確認のされ方 |
|---|---|---|
| Ask for approval（既定） | 今の作業フォルダ（ワークスペース）の中のファイルを読み書きし、普段のコマンドを実行する | インターネットを使う時や、作業フォルダの外に出る時は、実行前に人に確認する |
| Approve for me（設定画面での名前は Auto-review） | Ask for approval と同じ（範囲は広がらない） | 範囲を超える要求を、自動レビューが判定する。公式は「自動レビューも間違えることがある」としている |
| Full access | パソコン上のどのファイルも編集でき、ネットワークを使うコマンドも実行できる | 承認なしで進む。公式は、データの消失・漏えい・予期しない動作のリスクが大きく上がると警告している |
| Custom（config.toml） | 設定ファイルの権限プロファイルで決めた範囲 | 設定ファイルで決めた方法 |
公式ドキュメントは、ふだんの作業は Ask for approval から始めるよう勧めています。Full access と Auto-review は最初はメニューに出ず、ChatGPT デスクトップアプリの「設定 ＞ 一般」にある Permissions でオンにしてから選べるようになります（手順は下で説明）。承認の仕組みや config.toml での決め方はCodexの承認方法の解説で詳しく扱っています。
2026年9月24日に公式ドキュメントで確認しました。公式の変更履歴では、2026年7月9日に Full access を選ぶ時の警告表示が分かりやすくなったと案内されています。画面の名前や選べるモードは、更新や組織の設定で変わることがあります。
先に結論：便利になるが、権限管理が大事になる
ChatGPTやCodexの周辺で「フルアクセス」という言葉を聞くと、すべてを任せられる設定のように感じるかもしれません。しかし、実務では少し違います。アクセスできる範囲が広がるほど、ファイル確認、外部アプリ連携、GitHub、Google Drive、サイト横断確認、コード修正などは進めやすくなります。その一方で、どこまで見せるか、何を変更してよいか、どの操作は止めるかを決める必要があります。
OpenAIのHelp Centerでは、ChatGPTのAppsは外部ツールや情報をChatGPTの会話に持ち込み、検索、参照、作業をしやすくするものとして説明されています。また、アプリによっては情報を読むだけでなく、接続サービス側で作成や更新などの操作ができる場合があります。だからこそ、承認、権限、管理者設定、接続範囲が重要になります。
Codex作業でも同じです。広い範囲を見られると、複数ファイルの調査、HTML/CSS修正、内部リンク確認、sitemap確認、公開前チェックは速くなります。しかし、AdSenseコード、Search Console確認タグ、robots.txt、ads.txt、.htaccess、DB、cron、DNS、APIキー、token、.envのようなものを勝手に触ると事故になります。
フルアクセスで便利になりやすいこと
フルアクセス寄りの状態で便利になるのは、単純な文章生成よりも「状況を見て判断する作業」です。たとえば、今どのページがあるか、どのファイルに同じ説明があるか、どのリンクが切れているか、どの設定を触ってはいけないかを確認しながら進められます。
| 作業 | 便利になる理由 | 人間が確認すること |
|---|---|---|
| ファイル横断確認 | 複数HTML、CSS、sitemap、関連ページをまとめて確認しやすい。 | 見るべき範囲と見ない範囲を指定する。 |
| 外部アプリや接続サービスの利用 | Google Driveや連携アプリの情報を作業文脈に使いやすい。 | 接続範囲、共有範囲、許可した操作を確認する。 |
| Codexでのサイト修正 | 関連ファイルを見ながら、本文修正、リンク追加、表示確認を進めやすい。 | 設定系ファイルや秘密情報を触らせない。 |
| GitHub作業 | repo、差分、PR、Secrets注意をまとめて確認しやすい。 | main直反映、秘密情報、意図しないファイル変更を見る。 |
| Search Console反応対応 | 既存入口ページ、/news/、/work-log/、内部リンクを横断確認しやすい。 | titleやcanonicalを変える必要が本当にあるか判断する。 |
つまり、フルアクセスは「AIが勝手に全部やる」ためではなく、「人間が決めた範囲で、AIが必要な資料やファイルを見ながら進めやすくする」ためのものです。
普通の人から見ると、何が変わるのか
普通のユーザーにとって大きい変化は、道具を細かく選ばなくてもよくなる方向です。今までは、ファイルをアップロードする、アプリを切り替える、Driveの資料を探す、Codexに別途作業を頼む、といった手間が分かれていました。
アクセス範囲や接続アプリが整うと、「この資料をまとめて」「このrepoを確認して」「このサイトを直して」「このページの公開前チェックをして」と頼みやすくなります。GPTが裏側で必要な道具を使う未来に近づく、という見方もできます。
ただし、接続済みだからといって何でも見せてよいわけではありません。OpenAIの説明でも、Appsの権限は、接続時に与えたアクセスやワークスペース側の制御、アプリ側の権限によって決まります。ChatGPT側の確認設定を変えても、アプリに新しい権限を勝手に与えるわけではない、という考え方も重要です。
Codex作業では、調査と修正がしやすくなる
Codex作業で変わるのは、複数ファイルを見ながら作業しやすくなることです。たとえば、あるページの本文を直す時に、同じテーマの/news/、/work-log/、関連ページ、sitemap.xml、内部リンクをまとめて確認できます。
- サイト全体の構造を見やすい
- 複数HTML/CSSを横断して確認しやすい
- 内部リンク、sitemap、canonical、robots、noindexの確認がしやすい
- GitHub repoやPRの文脈を使いやすい
- 変更ファイルと触っていないファイルを報告しやすい
- /GOAL単位で、確認から実装、公開確認、報告まで進めやすい
一方で、権限が広いほど「触ってはいけないファイル」を明記する必要があります。AdSense、Search Console確認タグ、robots.txt、ads.txt、.htaccess、DB、cron、DNS、API関連、認証情報、deploy資格情報は、通常の本文補強とは別の領域です。必要になったら止めて報告するのが安全です。
便利になる分、事故も起きやすくなる
フルアクセス寄りの作業で一番危ないのは、AIが見える範囲が広がった結果、見せたくない情報まで読める状態になることです。秘密情報があるrepo、共有範囲の広いDrive、認証情報を含むファイル、公開前の顧客情報や社内資料は、扱いを分ける必要があります。
- APIキー、token、.env、SSH鍵、DB情報、認証コードを貼らない
- 個人情報、顧客情報、未公開資料を安易に渡さない
- DriveやGitHubの共有範囲を確認する
- 削除、大量置換、redirect、canonical、noindex変更は止める
- AdSenseコードやSearch Console確認タグを本文作業で触らない
- 公式発表ではない画面名や仕様を断定しない
- 外部アプリができる操作と、ChatGPTが承認を求める操作を分けて考える
OpenAIのヘルプ「Connected apps in ChatGPT」（2026年9月24日確認）では、アプリの権限設定の選択肢として「Always ask（毎回確認）」「Allow read actions（読み取りは許可）」「Allow low-risk actions（低リスクの操作は許可）」「Allow all actions（すべての操作を許可。対象のアプリやアカウントのみ）」が挙げられています。低リスクの操作を許可していても、影響の大きい操作は承認が必要になったり、拒否されたりすることがあります。「Allow all actions」は対応する操作が確認なしで実行されうるためリスクが高いと明記され、アカウント全体・ワークスペース全体の標準の選択肢には含まれていません。メール送信、削除、購入、ファイル移動、共有権限の変更などは、どの設定を選んでも実行前に内容を確かめたい操作です。
フルアクセス時に毎回書くべきチェックリスト
Codexに広い範囲を見せる時は、最初の指示にチェックリストを入れておくと安全です。
今回触ってよいファイル:
- 本文HTML
- 関連ページHTML
- 必要な場合のsitemap.xml
触らないファイル:
- AdSenseコード
- Search Console確認タグ
- robots.txt
- ads.txt
- .htaccess
- DB
- cron
- DNS
- API関連
- 認証情報
- .env
停止条件:
- 秘密情報が見つかった
- canonical / noindex / redirect変更が必要になった
- DB / cron / .htaccess変更が必要になった
- 外部アプリ権限やOAuth設定が必要になった
- 大量削除や大量置換が必要になった
報告:
- 変更したファイル
- 触っていないファイル
- 公開URL確認
- SEOタグ確認
- 内部リンク確認
- 秘密情報チェックこのように書くと、フルアクセスでも「広く見てもらうが、最後に人間が確認する」使い方に寄せられます。
複数サイトの運用では、本文補強と設定変更を分ける
複数の静的サイトを運用する場合、フルアクセスはかなり便利です。複数サイトの/news/、/work-log/、sitemap、内部リンク、SEOタグ、公開URLを横断して確認できます。Search Console反応に合わせて既存ページの入口を探す作業にも向いています。
ただし、広告コードやSearch Console所有権確認、robots.txt、ads.txt、canonical、noindex、redirectのような設定は、本文補強とは別扱いにします。本文を強くする作業、リンクを整理する作業、設定を変える作業を混ぜると、原因が追いにくくなります。
フルアクセスを使うなら、作業単位を小さく分けます。たとえば「Search Console反応ページの本文整理」「/news/への更新反映」「sitemap追加」「公開確認」までは同じGoalで扱えます。一方で、AdSenseコード変更やDB変更が必要になったら別Goalに分ける方が安全です。
フルアクセスでも、最後は人間が確認する
フルアクセスは、作業を速くするための仕組みです。最終判断をなくす仕組みではありません。公開前確認、差分確認、秘密情報確認、外部アプリ権限確認は人間が見ます。
特に、接続アプリや会社データを扱う場合は、既存の権限を尊重すること、ユーザーが閲覧できる範囲だけを参照すること、管理者設定やOAuth、RBAC、共有範囲を確認することが重要です。便利さと安全確認はセットで考える必要があります。
結論として、フルアクセスは「全部任せる」ではなく、「広く見てもらって、最後に確認する」ための設定です。Codex作業では、触ってよいファイル、触らないファイル、停止条件、報告形式を毎回固定しておくと、便利さを活かしながら事故を減らせます。
どこで切り替えるのか｜公式の手順
「フルアクセスにしたい（または解除したい）のに、設定がどこにあるか分からない」という質問が多いところです。2026年9月24日時点の公式ドキュメントでは、次の順番で案内されています。
- 1. 設定でモードをオンにする。ChatGPT デスクトップアプリの「設定 ＞ 一般（Settings > General）」を開き、Permissions で Full access（または Auto-review）をオンにします。Ask for approval は最初から使えます。オンにするとメニューに出るようになるだけで、モードが切り替わるわけではなく、開いている会話の設定も変わりません。
- 2. 入力欄の下の権限メニューで選ぶ。ChatGPT デスクトップアプリとIDE拡張では、入力欄の下にある権限のメニューから Full access などを選びます。解除する時も同じ場所で Ask for approval に戻します。
- 3. CLIでは
/permissionsと入力する。毎回同じ設定で始めたい場合は、config.toml の権限プロファイルで決めます（権限プロファイルの解説）。 - 4. 選べない（無効の表示になっている）場合は、許可されていない。選べるモードは手元の設定や組織の要件で決まり、許可されていないモードは無効の表示になります。組織アカウントでは管理者側の設定が優先され、個人では変更できないことがあります。
権限モードは、ChatGPT デスクトップアプリと Codex（CLI・IDE拡張）で、手元のパソコン上の操作に使う設定です。ブラウザ版の ChatGPT で探している場合は、デスクトップアプリ側を確認してください。
そして切り替えたら、「切り替わったつもり」で作業を始めないでください。小さな操作を1件試して、承認を求められるか・求められないかで実際のモードを確認してから、本来の作業に入ります。
通常の承認フローと何が違うのか
フルアクセスは「確認の関所を減らす」だけの設定ではありません。公式ドキュメントでは、触れる範囲（作業フォルダの外のファイルやネットワーク）も広がると説明されています。何が省かれ、何が広がるのかを分けて見ると、判断しやすくなります。
| 通常（Ask for approval） | フルアクセス（Full access） | |
|---|---|---|
| ファイルの変更 | 作業フォルダの中は確認なしで進む。外のファイルを変える時は実行前に確認が入る | パソコン上のどのファイルも承認なしで変更できる |
| コマンドの実行 | 普段のコマンドは作業フォルダの中で進む。範囲を越える時は実行前に確認が入る | 承認なしで実行する |
| インターネットの利用 | 使う前に確認が入る | ネットワークを使うコマンドも承認なしで実行する |
| 間違いの頻度 | 変わらない。変わるのは「間違いが実行される前に止まるか」 | |
| 事故時の被害 | 作業フォルダの中に収まりやすい（外に出る操作は確認で止められる） | 作業フォルダの外も含め、気づいた時点までの全部 |
つまりフルアクセスでは、間違いに気づくのが実行前から実行後へ移り、その影響は作業フォルダの外にも及びえます。だからこそ、実行後に間違いへ気づける仕組み——バックアップ、差分確認、戻せる状態——が前提になります。危険な範囲とSTOP条件はフルアクセスのリスク、向き不向きは合う人・合わない人で詳しく扱っています。
Codex の設定ファイル・CLI では何に当たるか
Codex CLI や config.toml で「権限をフルアクセスにしたい」と探している場合、画面の Full access に当たるのは設定2つの組み合わせです。公式は、フルアクセスとは sandbox_mode = "danger-full-access" と approval_policy = "never" を一緒に使うことだと説明しています。
| 決める場所 | フルアクセスに当たるもの |
|---|---|
| config.toml | sandbox_mode = "danger-full-access" ＋ approval_policy = "never"。権限プロファイルなら組み込みの :danger-full-access |
| CLI の起動フラグ | --sandbox danger-full-access、または --dangerously-bypass-approvals-and-sandbox（別名 --yolo）。公式の一覧では「サンドボックス無し・承認無し（推奨しない）」 |
| セッションの途中 | /permissions と入力して切り替える |
- 作業フォルダの外にも書き込みたいだけなら、公式は
--add-dirでフォルダを足す方を勧めています。 - 組織が管理する環境では requirements.toml でこれらを禁止でき、禁止されていれば手元では選べません。
2026年9月29日に公式ドキュメント（Sandbox / Agent approvals & security / Command line options / Config basics）で確認しました。
権限モードの比較表（承認とサンドボックスの組み合わせ）
権限は2つの設定でできています。サンドボックス（どのファイルとネットワークに触れるか）と、承認（いつ止まって確認するか）です。公式は「確認を誰がするかを変えても、サンドボックスは広がらない」と説明しています。次の表は、公式の「Common sandbox and approval combinations」の5つを、画面の名前と並べたものです。
| 使い方（公式の名前） | config.toml | CLI の起動フラグ | 確認なしでできること | 止まって確認すること・注意 |
|---|---|---|---|---|
| Auto（既定の組み合わせ）。画面では Ask for approval が同じ作業フォルダの範囲 | sandbox_mode = "workspace-write"approval_policy = "on-request" | フラグなし、または --sandbox workspace-write --ask-for-approval on-request | 作業フォルダ内のファイルを読む・編集する・コマンドを実行する | 作業フォルダの外を編集する時と、ネットにつなぐ時 |
| 読み取り専用で対話 | sandbox_mode = "read-only"approval_policy = "on-request" | --sandbox read-only --ask-for-approval on-request（CLI の途中なら /permissions で read-only） | 読み取り専用のサンドボックスの中でファイルを読み、コマンドを実行する | サンドボックスの外に出る操作は確認を求めることがある。変更せずに相談や計画をしたい時向け |
| 読み取り専用・確認なし（CI など人が見ていない実行） | sandbox_mode = "read-only"approval_policy = "never" | --sandbox read-only --ask-for-approval never | 読み取り専用のサンドボックスの中で読む・コマンドを実行する | 確認は一度も求めない |
| Auto-review（画面では Approve for me） | Auto の2行に approvals_reviewer = "auto_review" | Auto のフラグに -c approvals_reviewer=auto_review | Auto と同じ範囲 | 範囲を超える要求は、人ではなく自動レビューが判定する。追加でモデルを呼ぶので使用量に入る |
| フルアクセス（画面では Full access） | sandbox_mode = "danger-full-access"approval_policy = "never" | --dangerously-bypass-approvals-and-sandbox（別名 --yolo） | サンドボックスなしで、ファイルもネットワークも制限なく使う | 承認なし。公式の一覧では「推奨しない」。ウェブ検索の既定も live になる |
approval_policy = "untrusted"は使えなくなりました。残っていると起動できないことがあるので消します。on-failureも非推奨です。- workspace-write でも、作業フォルダの中の
.git・.agents・.codex・.awsは読み取り専用で守られています。 - 選べるモードは、アプリの版・実行環境・手元の設定・組織の要件で変わります。メニューに無い・選べないモードは、許可されていないということです。
この表の組み合わせは、config.toml の書き方ツールのボタンからそのまま行にできます。
出典: OpenAI公式ドキュメント Agent approvals & security・Sandbox・Permissions（権限モード）。2026年10月14日に確認。
フルアクセスにすると一緒に変わること
承認が省かれる以外にも、公式ドキュメントには動き方が変わる機能が書かれています。
- ウェブ検索が live になる。通常は OpenAI が持つ索引（キャッシュ）から返しますが、フルアクセスでは最新のページを取りに行く live が既定になります。
- サブエージェントにも引き継がれる。入力欄の下で選んだ権限モードは委譲した子の作業にも継承されるため、委譲を頼む前に選んでおきます。
- スケジュール実行の危険度が上がる。確認なしにファイル変更・コマンド実行・ネットワーク利用が起きるため、workspace write に戻し rules で例外を決めるよう勧められています。
- Ultra と組み合わせると確認のダイアログが出る（2026年7月9日の変更履歴）。
2026年9月29日に公式ドキュメント（Web search / Subagents / Scheduled tasks / changelog）で確認しました。
「Enable full CDP access」は別の設定
ChatGPT デスクトップアプリの「設定 ＞ Browser」にある Developer mode の Enable full CDP access（CDP へのフルアクセスを有効にする）は、この記事の権限モードとは別の設定です。Chrome DevTools Protocol（CDP）を通して、ブラウザのコンソール出力・ネットワーク通信・DOM やスタイルを ChatGPT が調べられるようにするもので、ファイルやコマンドの承認とは関係ありません。
- オンにしても、サイトを full CDP で調べる前に ChatGPT は毎回承認を求めます。ブラウザ内部の機微な情報が見える可能性があるため、サイト・作業・求められた範囲を確かめてから承認するよう案内されています。
- 組織が無効にしていると手元ではオンにできません（requirements.toml の
browser_use_full_cdp_access = false）。
2026年9月29日に公式ドキュメント「Browser」と 2026年6月11日の変更履歴で確認しました。
運営者の Windows で CLI の選択肢を確かめた結果（2026年10月10日）
Windows 11 Home の PC で、ChatGPT デスクトップアプリ（OpenAI.Codex 26.1007.2314.0）に同梱の Codex CLI（codex-cli 0.162.0-alpha.17.2）の codex --help を実行し、フルアクセスに関わる選択肢を確かめました。ログインは使っていません。
| 選択肢 | ヘルプに出た値・説明 |
|---|---|
-s, --sandbox | read-only・workspace-write・danger-full-access の3つ |
-a, --ask-for-approval | on-request（モデルが確認するかを決める）・never（確認しない）の2つ |
--dangerously-bypass-approvals-and-sandbox | 確認をすべて省き、サンドボックス無しで実行する。説明に「EXTREMELY DANGEROUS」とあり、外側で隔離された環境だけで使う前提 |
画面の Full access に当たるのは、上の danger-full-access と never の組み合わせです。CLI で試す時も、まず作業フォルダの中だけ書ける workspace-write から始め、必要な時だけ広げます。
参考にした公式情報
外部Help本文の長文転載はせず、要点の整理とリンクに留めています（2026年9月24日に各ページを確認）。最新の画面名、機能名、対象プラン、提供範囲は公式情報で確認してください。