Codex CLI 0.144.0、MCPが読み取り専用と示すツールの承認待ちを省略
Codex CLI 0.144.0では、MCPサーバーが読み取り専用と示したツールは承認なしで進め、それ以外で承認を求める`writes`が加わりました。判定はサーバーの申告に依存するため、信頼できるMCPサーバーで使う設定です。
AT A GLANCE
まず知りたいこと
MAIN CHANGE
一番大きい変化
信頼できるMCPサーバーが読み取り専用と示したツールは承認で止めず、そう示されていないツールだけ人の確認に残せるようになりました。
KEY POINTS
このリリースの注目点
読み取り専用と申告された呼び出しはそのまま進む
`writes`を選ぶと、MCPサーバーが読み取り専用と示したツールは承認を挟まずに実行できます。
それ以外の呼び出しは承認で止まる
読み取り専用と示されていないMCPツールは承認を求めるため、参照を続ける場面と人が確認する場面を分けられます。
判定はサーバーの申告に依存する
MCPの読み取り専用情報は保証ではないため、信頼できないサーバーでは承認を省くための安全境界として扱えません。
BENEFIT
ここがいい
信頼できるMCPサーバーで検索や参照を繰り返すとき、承認待ちを減らしながら、読み取り専用と示されていない操作を人の確認に残せます。
RELEVANT TO
こんな人に関係する
- Codex CLIからMCPサーバーを使って調査と変更を行う人
- MCPツールの承認範囲をチームで設定する人
MCPサーバーに、検索や情報取得のような読み取り専用ツールと、それ以外のツールが混在している場面を考えると分かりやすい変更です。Codex CLI 0.144.0で追加されたwritesを使うと、サーバーが読み取り専用と示した呼び出しはそのまま進み、そう示されていない呼び出しで承認を求めます。
たとえば、信頼しているMCPサーバーで外部サービスの情報を何度も参照してから操作を行う作業では、参照のたびに承認待ちを挟まずに調査を続けられます。一方、読み取り専用と示されていないツールに進むときは人が確認できます。0.144.0より前には、このwrites承認モードはありませんでした。
仕組みとしては、MCPサーバーのdefault_tools_approval_modeでwritesを選びます。現在の公式MCPドキュメントでは、writesは「読み取り専用と示されていないツールで承認を求める」モードとして案内されています。必要ならtools.<tool>.approval_modeでツール単位の設定も上書きできます。
ここでいう読み取り専用の判定は、MCPサーバーがツールへ付けるToolAnnotationsの情報に依存します。MCP仕様ではreadOnlyHintを含むこれらの値はあくまでヒントで、ツールの実際の挙動を保証しません。信頼できないサーバーから受け取った注釈をツール利用の判断に使うべきではないとも明記されています。そのため、writesはサーバーの注釈を信頼できる場合に承認待ちを減らす設定であり、信頼できないMCPサーバーに対する安全境界としては扱えません。
これは任意の承認設定です。Codex CLI 0.144.0への通常の更新とは別に、全利用者が設定を変える必要はありません。