Codex v0.150.0 — タスクを @ で参照でき、未信頼プロジェクトの AGENTS.md は指示として読まれなくなった

要約

2026-08-26、OpenAI Codex の stable リリース v0.150.0（rust-v0.150.0）が公開されました。窓内の stable はこの1件で、alpha は rust-v0.151.0-alpha.1〜alpha.3 の3件が並行して出ています。

目立つのは新機能ですが、実務で効くのはバグ修正欄に置かれた1行です。 順に見ます。

新機能の中心はタスク間の参照です。 @ メンションで他の Codex タスクを参照でき、エージェントにタスクの読み取り・作成・メッセージ送信を依頼できるようになりました（#40308, #40315）。これまで複数のタスクを跨いだ作業は、内容をコピーして渡すしかありませんでした。参照で成立するということは、タスクが独立した単位ではなく、互いに繋がる単位になったということです。

Interrupt フックが追加されました（#40511）。トップレベルのターンが中断されたときに、コマンドまたは MCP ハンドラを実行できます。中断時の後始末——一時ファイルの削除、ロックの解放、通知——を、手作業ではなくフックとして定義できるようになりました。エージェントの実行は正常終了だけでは終わらないという現実に、フック機構が追いついた形です。

そのほか操作面では、/copy が「応答全体 / 個別のコードブロック / 引用」を選べるピッカーになりました（#39997）。名前のないターミナルタスクに説明的なタイトルが自動で付き、/rename が編集可能な候補を出します（#40492, #40495）。Markdown リンクが対応ターミナルでクリック可能なラベルとして表示されます（URL 自体は保持、#40471）。権限モードを巡回するショートカットをバインドでき、Vim モードでは . で直前の編集を繰り返せます（#39873, #40521）。

そして、バグ修正欄の1行目です。

未信頼プロジェクトがプロジェクト階層の AGENTS.md の指示を供給しなくなり、管理者の deny-read ルールが効くようになった（#39837, #40004）

これは修正というより、信頼モデルの明確化です。AGENTS.md は Codex に対する指示ファイルです。つまり、リポジトリに置かれたファイルが、そのリポジトリを開いたエージェントの振る舞いを変えられる。信頼していないプロジェクトを開いたときに、そのファイルの指示が読まれるということは、他人が書いた指示に従うということでした。今回それが止まりました。同時に、管理者が設定した deny-read ルール（読み取り禁止）も効くようになっています。

そのほかのセキュリティ・信頼性の修正として、app-server 診断でのクレデンシャル秘匿の改善（プロバイダー・認証更新・アテステーションを含む、#39993）、リモート MCP のベアラートークン参照と必須サーバー起動の修正（#39926, #39952, #39979）、Unicode を含むユーザーパス下での Windows sandbox 設定と起動エイリアスの修正（#39971, #40570）、デタッチプロセスがターミナルや出力バッファを保持し続けることによる Unix シャットダウンハングの防止（#40460）、Amazon Bedrock モデルでの会話圧縮とマルチエージェント互換性の修正（#39804, #39825）があります。

何が変わったか

• @ メンションで他の Codex タスクを参照し、エージェントに読み取り・作成・メッセージ送信を依頼できる（#40308, #40315）
• Interrupt フックを追加。トップレベルのターンが中断されたときにコマンドまたは MCP ハンドラを実行できる（#40511）
• 未信頼プロジェクトがプロジェクト階層の AGENTS.md の指示を供給しなくなった。管理者の deny-read ルールも有効に（#39837, #40004）
• /copy が応答全体・個別コードブロック・引用を選べるピッカーに（#39997）
• 名前のないターミナルタスクに説明的タイトルを自動付与、/rename が編集可能な候補を提示（#40492, #40495）
• Markdown リンクが対応ターミナルでクリック可能なラベルに（URL は保持、#40471）
• 権限モード巡回のショートカットバインド、Vim モードの . による直前編集の繰り返し（#39873, #40521）
• app-server 診断のクレデンシャル秘匿を改善（#39993）
• リモート MCP のベアラートークン参照・必須サーバー起動の修正（#39926, #39952, #39979）
• Windows sandbox の Unicode パス対応（#39971, #40570）、Unix シャットダウンハングの防止（#40460）
• Amazon Bedrock モデルでの会話圧縮・マルチエージェント互換性の修正（#39804, #39825）

業務インパクト（一般企業向け）

AGENTS.md の扱いが変わった意味を、まず社内で共有してください。 これは「便利な機能が増えた」ではなく、**「今まで、他人のリポジトリを開くとその指示に従っていた」**という事実の裏返しです。OSS を clone して Codex で読む。取引先から受け取ったコードを開く。その中の AGENTS.md が、あなたの Codex に指示を出せていた——この構造を理解しているエンジニアは、意外と多くありません。

外部コードを扱う運用がある組織では、今回の変更を機に手順を見直す価値があります。 未信頼プロジェクトの指示が読まれなくなったのは前進ですが、「信頼」の判定を誰がどう行うのかは運用側の問題として残ります。何をもって信頼済みとするか、その判断を個人に委ねるのか組織で決めるのか。ここを決めていない状態は、機能が直っても実質的には変わりません。

管理者の deny-read ルールが効くようになった点は、統制側にとって実用的な前進です。 読み取り禁止の設定が未信頼プロジェクトでも適用されるということは、「見せたくないものを見せない」設定が、条件によって無効化されないということです。管理設定は「効くと思っていたが効いていなかった」が最も危険なので、この種の修正は地味でも重要です。自社で deny-read を設定しているなら、想定どおり効いているか確認するタイミングです。

Interrupt フックは、エージェント運用の成熟度を上げる部品です。 エージェントに長時間タスクを任せる運用では、途中で止めることが日常的に起きます。そのとき何が残るか——一時ファイル、掴んだままのロック、中途半端な状態のブランチ。これらを人が思い出して片付ける運用は、必ずどこかで漏れます。中断時の処理をフックとして定義しておけば、止め方が標準化されます。CI や共有環境で Codex を回している組織では、導入検討の価値があります。

タスクの @ 参照は、作業の分割単位を変える可能性があります。 これまで「1タスクに全部入れる」か「別タスクに分けて内容をコピーする」の二択でした。参照で繋がるなら、タスクを小さく切っても文脈が失われません。調査タスク、実装タスク、レビュータスクを分けて、後段が前段を参照する——という構成が現実的になります。ただしこれは運用設計の話なので、機能が出たからといって自動的にそうなるわけではありません。どう分けるかを決める作業が別途必要です。

副業・個人活用視点

まず、自分が clone した外部リポジトリを Codex で開いていないか思い出してください。 OSS のコードを読む、参考実装を確認する、テンプレートを試す——個人開発では日常的な行為です。その中に AGENTS.md があれば、これまでは指示として読まれていました。悪意あるものに遭遇した確率は低いでしょうが、構造として可能だったという事実は認識しておくべきです。今回の修正で塞がりましたが、同種のファイル（各種 AI ツールの設定ファイル）が他のツールでどう扱われるかは、それぞれ別の話です。

Interrupt フックは、個人でも使いどころがあります。 長いタスクを走らせて、途中で「あ、方針が違う」と止めることは日常的に起きます。そのたびに一時ファイルが散らかる、ブランチが中途半端になる——という経験があるなら、後始末をフックにしてしまうのが早い。自分だけの運用でも、繰り返す作業は自動化した方が結局は楽です。

タスクの @ 参照は、個人の作業スタイルに素直に効きます。 副業や個人開発では、調べる・作る・直すを同じ人が連続でやります。これまでは「文脈を保つために1つのタスクを長く引きずる」か「切って毎回説明し直す」かでした。参照で繋がるなら、切っても説明し直さなくていい。長いセッションを引きずることによるコスト増と精度低下を避けつつ、文脈は保てます。

発信の題材としては、AGENTS.md の信頼モデルが強い。 「リポジトリに置かれたファイルが、それを開いた AI の振る舞いを変えられる」——これは AI コーディングを使っている人なら誰でも関係するのに、言語化されている記事は多くありません。今回の修正を起点に、「AI ツールの設定ファイルは実行される指示である」という一般論まで広げると、実用的な記事になります。他のツール（Claude Code の CLAUDE.md、各種 rules ファイル）が同じ問題をどう扱っているか調べて並べれば、それだけで読まれる内容になります。