検証した主張
「オープンソース化されたCodexとChatGPTの連携Skillなら、公式機能だけで動き、ウイルスやバックドアの心配もない。」
発見元は調査の入口であり、判定の根拠には使用していません。何が話題になったのか
SNSでは、Codexに実装を担当させ、ChatGPTのWeb画面で計画とレビューを行う公開Skillが紹介されました。投稿には動作動画と公開リポジトリへの案内があります。ここでは投稿者や個別の作業画面に関する情報を記事化せず、公開された仕組みそのものを検証します。SNS投稿は発見元であり、安全性や利用条件の証拠ではありません。
公開リポジトリは「Codex with ChatGPT」という非公式プロジェクトです。READMEは、ローカル作業フォルダを読むMCPの接続、ChatGPTとのやり取り、Cloudflare経由の公開接続、OAuth認証を説明しています。これはOpenAIが提供するCodexの標準設定そのものではありません。
公開コードで確認できたこと
2026年9月23日に固定コミットのコードを静的に読みました。MCPサーバーにはファイル一覧・読み取り・検索、Gitの状態と差分、テスト記録の閲覧などのツールが登録されています。確認した範囲に、MCP経由で直接ファイルを書き換えるツールはありません。パスを作業フォルダ内に制限し、.envや鍵などの典型的な名前を除外する処理も見つかります。これは具体的な防御策です。
ただし、READMEの「リポジトリはアップロードされない」は「一括アップロードしない」という意味で読むべきです。ChatGPTはMCPを通じて必要なファイルの本文や差分を取得できる設計です。社内コード、顧客情報、未公開仕様を含むフォルダに接続すれば、対象の情報が外部のChatGPT側へ渡る可能性があります。除外リストはファイル名などに基づくもので、普通の名前の文書内に書かれた秘密や個人情報を自動判定してすべて遮断するものではありません。
| 対象 | 確認したこと | 保証できないこと |
|---|---|---|
| MCPの操作 | 公開コード上の登録ツールは閲覧系 | Codex側の実装・コマンド実行まで無害であること |
| 機密ファイル対策 | .env、鍵などの典型名と追加除外規則がある | 通常名の文書や差分に秘密が含まれないこと |
| 公開接続 | トンネルとOAuthによる接続を設計している | 設定ミス、将来の変更、脆弱性が存在しないこと |
| 動作動画 | 作者が動作例を公開している | 全環境で同様に動くことや安全性 |
「読み取り専用」でも注意すべき四つの点
第一に、Skillは説明書であると同時にエージェントへの作業指示です。公開版にはソフトの導入、ビルド、Codexの設定ファイルへの書き込み、自動更新、接続の修復を促す手順があります。MCPの権限だけを見て「パソコン上でも読み取り専用」と判断してはいけません。特に利用者へ技術的な詳細を見せずに進める指示は、初心者が変更範囲を把握しにくくします。
第二に、日次の更新確認後に新しい版へ更新する手順があります。今日読んだコードが問題なくても、後日取得するコードと依存パッケージは別物です。GitHubのスター数、MITライセンス、公開ソースの存在だけでは、将来の版まで安全とは証明できません。
第三に、ローカルの橋渡しサーバーをトンネル経由で外部から接続可能にする設計です。認証や作業フォルダの境界は実装されていますが、外部公開面が一つ増えることは事実です。認証方式の説明は安全性監査の代わりにはなりません。
第四に、ChatGPT側の提案をCodexが実行すれば、読み取り専用のMCPしかなくてもファイル変更やコマンド実行は間接的に起こり得ます。OpenAI Docsも外部コンテンツによるプロンプト注入と、ネットワーク・権限の扱いに注意を促しています。提案の出所と最終的な実行権限は分けて確認してください。
ウイルスやバックドアはあるのか
今回読んだ主要ファイルから、意図的なウイルスやバックドアがあるとは判断できません。一方で、全ソース、依存パッケージ、配布時の差分、実行中の外部通信を網羅していないため、「ない」とも証明できません。公開コードの一部を読むこと、ウイルス対策ソフトで検出されないこと、動画で動くことは、それぞれ限定的な材料です。個別の脆弱性や悪意を裏付けずに作者を危険だと断定することも避けます。
実際に起こり得るのは、コード自体の悪意だけではありません。後からの不正な更新、依存パッケージへの混入、広い作業フォルダの誤接続、機密データの意図しない共有、AIが読んだ文書からの指示の混入もあります。GitHubは依存関係の差分確認と固定版の管理を推奨しています。
試すなら、どこまで準備する？
架空の例として、公開済みのサンプルアプリだけを入れた専用フォルダで試します。顧客データ、秘密鍵、請求書、未公開の企画書が入った本番作業フォルダとは分けます。接続先と権限を確認し、変更や外部通信が必要な場面では目的を理解してから許可します。試験後に連携を外す手順も先に確認します。
専門的な確認ができない場合は、「一段落を丸ごとAIへ貼り付けて、インストールから許可まで任せる」方法は避けるのが妥当です。まず現在のCodexとChatGPTに備わるモデル選択や通常のレビュー機能で目的を達成できるかを比較してください。
- 固定したコミットのSkill本文、参照スクリプト、依存関係、更新手順を読む。自動更新は停止または毎回差分を承認する。
- 作業フォルダを最小化し、.c2cignoreのような追加除外だけに頼らず、秘密・個人情報を物理的に置かない。
- トンネル、OAuth、ブラウザ接続、設定ファイルの変更を一つずつ確認する。内容を理解できない許可要求は通さない。
- 実運用前に、隔離環境でネットワーク送信先、取得されるファイル、更新後の差分を確認する。
- 公開接続を止めて連携を解除できることを確認し、機密案件への導入は別途セキュリティ審査する。
編集部の見解と今回の限界
計画と実装を別のモデルで分担し、計画側にも差分を読ませる発想は面白く、単純な要約の受け渡しより文脈を保てる可能性があります。ただし、そのためにローカルのコードをWeb側へ読ませ、常駐サーバー・認証・トンネル・更新運用を増やす負担があります。私たちの判断は「試験用の公開コードで仕組みを研究する価値はあるが、重要データがある普段のPCや業務フォルダへ無審査で導入しない」です。これは安全性の断定ではなく、確認した権限と未確認範囲に基づく運用判断です。
2026年9月23日時点の静的な抜粋調査です。実機インストール、マルウェアスキャン、ペネトレーションテスト、依存関係の完全監査、OpenAIによるこの個別プロジェクトの承認確認は行っていません。リポジトリのREADMEにもOpenAI非公認と明記されています。契約上の適合性や「完全に公式の方法」という投稿者の解釈も、本調査では保証しません。
検証条件・対象環境
| 対象プラン | 利用するChatGPT・Codexの契約と利用条件による |
|---|---|
| 地域 | 接続先サービスが提供される地域 |
| 利用面 | Codex / ChatGPT Web / MCP / ローカル作業フォルダ |
| 提供状態 | 2026年9月23日時点の公開版を静的確認。OpenAIの公式製品ではなく、作者による非公式のコミュニティプロジェクト |
| 実機確認 | 公開リポジトリのコミット9663b88753e35c76796c5bce000293e0bd22cd9eで、README、Skill、package.json、MCP・ファイル除外・更新・設定変更に関する主要コードを静的に確認。導入、依存パッケージの実行、通信の観測、完全なセキュリティ監査は行っていない。 |
| 次回見直し | 2026.10.07 |
よくある質問
オープンソースならウイルスはありませんか？
いいえ。コードが公開されていても、現在の版、依存ソフト、後日の更新や実行時の通信まで安全と保証されません。今回の確認ではウイルスを立証できませんが、不在も証明していません。
MCPが読み取り専用ならファイルは変更されませんか？
MCPの閲覧ツールから直接書き込む処理は確認しませんでした。ただし、Codex側はSkillの指示に従ってコマンドを実行したり、コードを変更したりできます。全体として読み取り専用ではありません。
秘密ファイルは自動で守られますか？
.envや鍵など典型的なファイル名を拒否する処理はあります。しかし、通常の名前の文書や差分内の秘密まで必ず隠せるわけではありません。試験用フォルダに秘密を置かないことが基本です。
この方法はOpenAIの公式機能ですか？
いいえ。OpenAIのChatGPTやCodexの機能を利用する非公式のコミュニティプロジェクトであり、リポジトリもOpenAI非公認と説明しています。
更新履歴
SNSの投稿と公開コードの固定コミットを照合し、導入・データ共有・自動更新のリスクを整理。
情報源
一次情報と発見元を区別し、各ページの公開日と確認日を記録しています。
- 元のSNS投稿（発見元）
公開Skillの紹介と動作・安全性に関する作者の主張。製品仕様や安全性の根拠とは区別。
公開: 2026.08.28確認: 2026.09.23 - Codex with ChatGPT：公開リポジトリの固定コミット
README、Skill、MCP・作業フォルダ処理・自動更新・設定変更のコードを確認。開発元自身の資料であり、独立監査ではない。
公開: 2026.09.13確認: 2026.09.23 - Skillの導入・更新手順
ローカルコマンド、Codex設定変更、日次の更新確認と更新時の実行手順を確認。
公開: 2026.09.13確認: 2026.09.23 - MCPツールと機密ファイル除外
登録されている閲覧系ツールを確認。除外規則は同コミットのsrc/workspace/ignore.tsを参照。
公開: 2026.09.13確認: 2026.09.23 - Agent approvals & security
サンドボックス、承認、外部情報からのプロンプト注入の注意点を確認。個別の非公式Skillの認証ではない。
公開: 随時更新確認: 2026.09.23 - Dependency review
依存関係と更新差分を確認する考え方を確認。
公開: 随時更新確認: 2026.09.23