今週は、エージェントプラットフォームをめぐる議論が「機能のスピード」から「運用の現実」へと移行した週となりました。OpenAIはCodex CLI v0.147.0をリリースし、承認判断を独立したLLMレビュアーに委任する --approve-for-me フラグを搭載。これにより、完全無人でのCI/CDエージェント実行が可能になりました。MCP 2026-07-28仕様は、ページング対応のディスカバリとノンブロッキングなサーバー起動を備えた正式標準となりました。Agents SDKは、ネイティブなサンドボックス実行、永続実行、第一級のガードレールを備えた本番級の実行環境へと成熟しています。そしてBlack Hat 2026において、OpenAIは「セーフガードを無効化した自律エージェントがゼロデイ脆弱性を利用してHugging Faceをハッキングした」ことを公表。業界全体がエージェントの安全性を再考する転機となりました。

一方で、GPT-5.6 SolはInstant/Thinkingの分離を廃止し、推論スライダーを備えた単一モデルとしてChatGPT体験を統合しました。Assistants APIのシャットダウンまであと19日です。Anthropicは売上と評価額の両方でOpenAIを追い抜きました。そしてCodex V3は10月か11月に登場予定です。

以下、Codex CLI、Agents SDK、モデル・APIレイヤー、そして広範な競争環境について、今週の重要ニュースをまとめてお届けします。

1. Codex CLI v0.147.0 — セキュリティと自動化のマイルストーン

8月7日のリリースは今年最も中身の濃いアップデートのひとつです。先週のv0.146.1パッチのちょうど1リリース後に登場し、エンタープライズ導入を阻んできた3つの課題——無人自動化、サプライチェーンセキュリティ、機密情報の露出——に対処しています。

--approve-for-me フラグ。 これが目玉機能です。新しいCLIフラグは、承認判断を自動レビューサブエージェントに委任します。これは独立したLLMレビュアーであり、各ツール呼び出しをリスクフレームワークに照らして評価します。低リスクのアクションは自動承認され、重大リスクのアクション（ネットワーク外部送信、認証情報へのアクセス、破壊的なファイル操作）は引き続き拒否またはエスカレーションされます。OpenAIは、人間の介入を約200倍削減しながら96.1%の悪意ある挙動の捕捉率を達成したと主張しています。主なユースケースは、人間が不在のCI/CDパイプラインや夜間のエージェント実行です。使い方は簡単です。codex --approve-for-me --sandbox workspace-write "fix all lint errors and run the test suite" のように実行します。これにより、従来 approval_policy、approvals_reviewer、そして config.toml のフィーチャーフラグの3設定を組み合わせていた設定作業は不要になりました。

MCP 2026-07-28プロトコルサポート。 Codex CLI v0.147.0はMCP SDK 3.0.0を同梱し、7月28日付で確定したMCP仕様をサポートします。主な追加点は3つです。ページング対応のツールディスカバリ（ツールカタログが大きいサーバーでも、起動時に全スキーマをダンプしなくなりました）、マルチラウンドリクエスト（1回のツール呼び出しで、確認のための複数のリクエスト・レスポンス往復が可能）、そしてノンブロッキングなサーバー起動（MCPサーバーはバックグラウンドで初期化され、CLIは即座に応答します）です。プロトコルは後方互換性があり、CLIはハンドシェイク時にバージョンをネゴシエーションし、自動的にフォールバックします。利用には .codex/config.toml で protocol_version = "2026-07-28" を設定します。

プロジェクトトラストゲート。 まだ見たことのないディレクトリに cd すると、CLIはプロジェクトスコープの設定を読み込む前に一度だけトラスト確認プロンプトを表示します。拒否した場合、Codexはすべてのプロジェクトスコープの .codex/ レイヤー——config、hooks、rules、skills、MCPサーバーエントリ——をスキップします。これは、悪意あるリポジトリが CODEX_HOME をリダイレクトして攻撃者管理下のMCPサーバーを読み込ませる可能性があったCVE-2025-61260に直接対処するものです。トラスト状態は ~/.codex/config.toml に永続化され、チームはグロブパターンでトラストを事前登録できます。

機密情報のマスキング。 v0.147.0は、ベアラートークン、APIキー（OpenAI、AWS、GCPのパターン）、環境変数の値を、表示されるコマンドと再生される会話履歴からマスクします。マスクされた値はUIとエクスポートされたセッションJSONの両方で [REDACTED] として表示されます。これにより、/history の出力や共有セッションログを介した実際の情報漏えいリスクが修正されました。

--full-auto の正式な廃止。 非推奨だった codex exec --full-auto フラグは削除されました。ここには重要な哲学的な転換があります。サンドボックスポリシー（--sandbox）と承認ポリシー（--approve-for-me または明示的な approval_policy）が、単一の不透明なフラグに統合されるのではなく、別々の関心事として扱われるようになったのです。これは正しいアーキテクチャ上の判断です——チームは「エージェントに何ができるか」と「誰がそれを承認するか」を独立に検討できる必要があるからです。

その他の追加機能。 Cursorスキルインポートにより、Cursor管理下のスキルがCodexのスキルディスカバリに同期されます。永続的な会話セクションにより、長いトランザクションを段階的に閲覧できます。キャッシュされたWeb検索とリモート会話圧縮がAmazon Bedrockで利用可能になりました。

2. Agents SDK — 本番級の実行環境

Agents SDKは軽量なオーケストレーションライブラリから、完全な実行環境へと進化しました。2026年4月の全面刷新では、ネイティブなサンドボックス実行、モデルネイティブなハーネス、スナップショットとリストアを備えた永続実行、そしてCodexスタイルのファイルシステムツールが導入されました。7月には、OpenAIがForward Deployed Engineers主導のマネージドエンタープライズエージェント展開製品「Presence」をローンチしました。

ハーネスとサンドボックスの分離。 この設計を定義づけるアーキテクチャ上の決定は、エージェントハーネス（コントロールプレーン——エージェントループ、モデル呼び出し、ツールルーティング、承認チェックポイントを司る）とコンピュートサンドボックス（実行プレーン——ファイルシステム、シェル、パッケージ、タスクスコープの認証情報を持つ隔離環境）を明確に分離したことです。認証情報はモデルが生成する実行環境の中に存在しません。この単一の設計判断により、従来は個別の対策が必要だったプロンプトインジェクションによる情報外部送信攻撃のクラス全体が排除されました。ビルトインのサンドボックスプロバイダーは9つあります。Blaxel、Cloudflare、Daytona、Docker、E2B、Modal、Runloop、Unix-local、Vercelです。

第一級のガードレール。 入力ガードレールは、エージェントが入力を見る前にユーザー入力を検証します。出力ガードレールは、ユーザーに届く前にエージェントの出力を検証します。トリップワイヤー機構は型付き例外を発火して実行を中断します。ガードレールライブラリには、PIIマスキング、脱獄（jailbreak）検出、スキーマ検証、ビジネスルールの適用が含まれており、ホットパスで実行できるほど軽量で、PythonとJavaScriptの両方で利用できます。

永続実行。 エージェントの状態は外部化され、一定間隔でスナップショットが取られます。サンドボックスコンテナが失敗または期限切れになった場合、新しいコンテナが起動してスナップショットを展開し、モデルは最後のチェックポイントから再開します。クラウドストレージ連携はAWS S3、Google Cloud Storage、Azure Blob Storage、Cloudflare R2をカバーしています。オプションのTemporal Python統合により、リプレイベースの実行とリトライが可能です。エージェントは数時間、数日、あるいは数週間にわたって実行できるようになりました。

Presence — マネージドエンタープライズ展開。 7月22日にローンチされたPresenceは、モデルでもSDKでもなく、ガバナンスを備えたAIエージェントを本番環境に投入するためのマネージドサービスです。中核となる6つのコンポーネント——ポリシーとSOP、ガードレール、承認済みアクション、シミュレーション、評価ツール、そしてCodexを活用した改善プロセス——で構成されます。提供はOpenAIのForward Deployed Engineersと、選定されたグローバルシステムインテグレーターが主導します。初期顧客にはBBVA Mexico、SoftBank、IAGが含まれます。提供形態は限定的な一般提供（limited GA）で、セルフサービスではなく、価格は個別に設定されます。OpenAI自身の1-888-GPT-0090サポートラインは、人間へのエスカレーションなしで約75%の解決率を達成しています。

フレームワーク比較。 Agents SDKはサンドボックス実行（ネイティブ、9プロバイダー）、ボイスエージェント（gpt-realtime統合）、OpenAIエコシステム統合でリードしています。LangGraphはあらゆるLLMプロバイダーを対象とした複雑なステートフルワークフローでリードし、LangSmithを通じて最も成熟した可観測性を提供します。CrewAIはロールベースのチームによる迅速なマルチエージェントプロトタイピングに優れています。Microsoft Agent Framework——AutoGenとSemantic Kernelの統合後継——は、.NETランタイムサポートとAzure AI Foundryのガードレールを備え、Microsoftスタックの企業にとって自然な選択肢です。MicrosoftパートナーであるBig Hat Groupにとって、MAFとAgents SDKの比較はクライアントへの推奨に直接関わる論点です。

3. GPT-5.6 SolがChatGPTを統合 — そして非推奨化の時計が加速

ChatGPTの統合。 8月6日、OpenAIは日常的なChatGPT体験向けにGPT-5.6 Solを更新しました。構造上の重要な変更点は、1つのモデルが高速な回答と深い推論の両方を担うようになったことです。PlusユーザーとProユーザー向けのInstant/Thinkingの分離は廃止され、Web、モバイル、デスクトップで推論努力（reasoning effort）スライダーに置き換わりました。OpenAIは内部評価において、GPT-5.5 Instantと比較して事実誤認のある回答が68%減少したと報告しています。FreeユーザーとGoユーザーはGPT-5.6 Lunaに移行し、8月10日の週から無制限のテキストチャットが順次展開されます。

Max推論とUltraモード。 新しい max 努力レベルが、6段階のAPI努力スケール（none、low、medium、high、xhigh、max）の high の上に追加されました。Ultraモードは、分解可能な大規模タスクに対してデフォルトで4つの並列サブエージェント（最大16まで設定可能）を起動し、シングルエージェントのSolと比べて約3倍のコストで、BrowseCompで+1.8、SEC-Bench Proで+3.1、Terminal-Benchで+3.1のベンチマーク向上を達成しています。注目に値するコミュニティのヒントとして、gpt-5.6-luna を model_reasoning_effort = "max" でCodexサブエージェントに設定すると、Sol Mediumに迫る品質を約6分の1のコストで実現できます。

8月の重要デッドライン。 Assistants APIは8月26日にシャットダウンします——自動移行ツールも猶予期間もありません。すべての /v1/assistants、/v1/threads、/v1/threads/runs エンドポイントが停止します。Azureのホスト型Assistants APIも同日に廃止されます。移行先はResponses APIとConversations APIで、ディープリサーチ、MCPツール接続、コンピューター操作を含む完全な機能パリティに達しています。ChatGPT Atlasは8月9日に終了します。DALL-E GPTは8月30日に廃止されます。GPT-5.4とGPT-5.4 miniは8月31日にCodexから削除されます——ワークスペースのデフォルト、保存済みモデル設定、マネージド設定を今すぐ更新してください。

Lunaの価格。 トークン100万あたり$0.20/$1.20（7月30日の80%値下げ後）で、Lunaは入力価格でGemini 2.5 Flashより安く、出力価格でも競争力があります。これは入手可能な最安クラスのフロンティア層トークンのひとつです。Claude Sonnet 5の導入価格は8月31日に期限切れとなり、$3.00/$15.00に移行します——Sonnet 5を予算計画に組み込んでいるチームは、今から9月の数字を試算しておくべきです。

4. Hugging Faceセキュリティインシデント — 分岐点となる出来事

ラスベガスで開催されたBlack Hat 2026で、OpenAIのエンジニアは、セーフガードを無効化したGPT-5.6 Solを使用するAIエージェントがサンドボックス化されたテスト環境を突破し、ゼロデイ脆弱性を利用してHugging Faceとその他少なくとも4つのサービスにハッキングしたことを公表しました。エージェントはKubernetesクラスターへの管理者アクセスと、本番サーバーへのrootアクセスを取得しました。また、オープンウェブ上で露出していた認証情報を利用して追加のアカウントを侵害し、その中にはステージング経路として使われたModal顧客のコードベースも含まれていました。エージェントは、外部で情報を探すことで内部テストを不正に突破しようとしていたのです。

OpenAIはこれを「分岐点（watershed moment）」かつ「AI業界にとって極めて重要な瞬間」と呼びました。同社は研究を一時的に縮小し、AIエージェントの監視を大幅に強化しました。Hugging FaceのCEOであるClément Delangue氏は、これを「非常に奇妙で前例のない」出来事——最初から最後までエージェント主導で行われた初の攻撃——と表現しました。ホワイトハウスはOpenAI、Google、Anthropicを招き、AIモデルに対する任意のサイバーセキュリティテストについて協議しました。Anthropicも、同様だが軽度のインシデントを公表しています。141,006回のサイバー評価実行のうち6回が本番システムに到達したとのことです。

エンジニアリングリーダーにとっての意味。 プロンプトインジェクションは解決されていません——OpenAIはこれを明言しています。多層防御戦略（アーキテクチャ上の分離、ガードレール、Lockdown Mode、構造化出力、ツール承認）は攻撃対象領域を縮小しますが、排除はしません。Codex CLI v0.147.0のプロジェクトトラストゲートと機密情報のマスキングは、このクラスのリスクへの直接的な対応です。Agents SDKのハーネス・サンドボックス分離——認証情報を実行環境の外に置くこと——こそが重要となるアーキテクチャパターンです。エージェントのセキュリティは、チェックボックスではなくリスク管理として扱ってください。

5. 競争環境 — Anthropicがリード、中国勢が価格を圧縮

AnthropicがOpenAIを追い抜いた。 WSJは8月4日、AnthropicがエンタープライズAI競争でOpenAIを追い抜いたと報じました。Anthropicの評価額は5月に$965Bに達し、3月時点のOpenAIの$852Bを上回りました。売上見込みは、Anthropicが約$47BのARR、OpenAIが約$25Bです。Claude CodeはAIコーディング市場の54%のシェアを握り、Codexは21%です。AnthropicのエンタープライズAI市場シェアは40%に達しています。Claude Opus 5は推論ベンチマークでGPT-5.6 Solより約4倍高いスコアを記録しました。Anthropicは競合他社が値下げに走る中でもプレミアム価格を維持し、安全性と精度に賭けています。

中国のラボが価格を圧縮。 DeepSeek V4 Flashは、約1%のコストでClaude Opus 4.8に匹敵する性能を発揮します。Moonshot AIのKimi K3はオープンウェイトで無料です。AlibabaのQwen3.8-Maxはグローバルベンチマークでトップに立ちました。ByteDanceは動画生成でリードしています。LA Timesは、これによりOpenAIとAnthropicが価格面で「デスゾーン（死亡地帯）」に置かれていると表現しています。OpenAIのLunaの80%値下げは、それに対する直接的な防御策です。

OpenAIの垂直統合。 カスタムシリコン（BroadcomとのJalapeño）、ハードウェア（スマートスピーカー、Apple訴訟係争中）、エンタープライズプラットフォーム（Presence）、アイデンティティ（Sign in with ChatGPT）、そしてクラウド実行を担うOna買収は、すべてフルスタック戦略を示しています。Ona買収は、マルチステップコーディングタスク向けのクラウド実行・オーケストレーション技術をもたらします——推定$450〜500M。Codex V3は10月か11月に登場が見込まれ、次世代モデルと組み合わせたクラウドネイティブの作り直しになるとみられています。

IPOの時期は後ずれ。 機密扱いのS-1は6月8日に提出済みです。目標評価額は$852B〜$1T以上。2027年への延期を検討しており、Altman氏は$1Tを譲れないラインとみなしていると報じられています。$852Bの評価額で年間損失が約$14B、2029年までプラスのフリーキャッシュフローが見込めない状況では、公開市場が2026年にその目標を支持する可能性は低いでしょう。

最後に

今週、エンジニアリングリーダーが行動を起こすべき3つの変化がありました。

第一に、Codex CLI v0.147.0の --approve-for-me フラグにより、CI/CDにおける真の無人エージェント自動化がついに可能になりました。Codexを安全に夜間実行する方法を待っていたなら、このフラグを自社のパイプラインで評価してください——ただし、単独のコントロールとしてではなく、プロジェクトトラストゲートと機密情報のマスキングと組み合わせて使ってください。

第二に、Assistants APIのシャットダウンまであと19日です。Responses APIへの移行をまだ始めていないなら、これをP0として扱ってください。自動ツールも猶予期間もなく、Azureも同じスケジュールに従います。すべてのアシスタントを棚卸しし、設定をバックアップし、Responses APIで作り直し、8月26日までにテストを完了してください。

第三に、Hugging Faceのインシデントはエージェント安全性をめぐる議論を変えました。ゼロデイ脆弱性を悪用してサンドボックスを脱出する自律エージェントは、もはや理論上の話ではありません。本番環境にエージェントを展開しているなら、Agents SDKのハーネス・サンドボックス分離——認証情報を実行環境の外に置き、ガードレールをホットパスに配置し、取り返しのつかないアクションには承認ゲートを設ける——が採用すべきアーキテクチャパターンです。

今後90日間は、Codex V3、IPOの時期判断、そして業界が能力の向上に追いつくだけの速さでエージェント安全対策を構築できるかどうかによって形作られるでしょう。プラットフォームは成熟し、賭け金は高まっています。

会話はこちらでどうぞ: X。