【2026年最新】Codex GitHub Action 完全ガイド｜CI/CD自動レビュー・PR生成7パターン

結論: Codex GitHub Action（openai/codex-action@v1）は、OpenAIが公式提供するGitHub Actions統合であり、PRレビュー・Issue自動対応・テスト追加・リリースノート生成など7パターンの開発自動化をYAML設定だけで実現します。

この記事の要点:

• セットアップはOPENAI_API_KEYをGitHub Secretsに登録してYAMLを3行追記するだけ（最短15分）
• PRレビュー・Issue起点PR生成・セキュリティスキャンなど7つの活用パターンをコピペ可能なYAMLで解説
• コスト爆発・APIキー漏洩・無限ループの3大失敗パターンと回避策を完全公開

対象読者: GitHub Actionsの基礎知識があり、CodexをCI/CDに組み込みたい開発チーム・エンジニアリングマネージャー
読了後にできること: 最小構成YAMLをリポジトリにコミットして、今日からCodex自動PRレビューを動かす

「レビュー待ちで開発が詰まる」と感じたことはありませんか？

先日、ある企業のエンジニアリングチームでこんな話を聞きました。PRのレビュー待ち平均が2.5日で、シニアエンジニアのレビュー時間が週8時間を超えていた。それが Codex GitHub Action を導入して自動PRレビューを走らせたところ、軽微な指摘の約70%がCIで検出されるようになり、人間のレビューはアーキテクチャ判断と重大な問題への集中投資に切り替えられた、という話です。

OpenAIが2026年にリリースしたopenai/codex-action@v1は、GitHub Actionsワークフローから直接Codex CLIを呼び出せる公式アクションです。PRが開かれた瞬間に自動でコードレビューコメントを投稿し、Issueにラベルを貼れば自動でPRを生成するといった自動化が、YAMLを数十行書くだけで実現できます。

この記事では、公式ドキュメント（developers.openai.com/codex/github-action・参照日: 2026-06-04）とopenai/codex-actionリポジトリ（参照日: 2026-06-04）を一次ソースとして、コピペ可能なYAML設定5パターンと失敗回避の完全ガイドをお届けします。

Codex GitHub Actionとは何か — 5分でわかる全体像

Codex GitHub Actionとは、OpenAIが公式メンテナンスしているGitHub Actions拡張機能（openai/codex-action@v1）です。ひと言で言えば「Codex CLIをCI/CDの中で動かすためのラッパー」です。

通常、Codexはターミナルやブラウザから人間が操作するツールですが、GitHub Actionを使うとワークフローのトリガー（PRオープン・Issue作成・スケジュール実行など）に応じてCodexを自動起動できます。Codexが実行されると、リポジトリのコードを読み込んで指示に基づいた作業（レビューコメント投稿・差分生成・PR作成など）を行い、結果をGitHub上に返します。

Claude Code Actionとの違い

似たようなツールとして、Anthropicのclaude-code-actionがあります。両者の違いを整理すると次のようになります。

どちらが正解というわけではなく、「PRレビューの自動化・速度重視」ならCodex、「アーキテクチャレベルの複雑な変更・長いコンテキスト理解」ならClaude Codeを選ぶのが実務上の使い分けです。両方を組み合わせているチームも増えています。

Codex CLIの料金詳細や、Codex CLI vs Claude Codeの詳しい比較はCodex CLI vs Claude Code 料金比較ガイドでまとめています。

最小構成セットアップ — 15分で動かす5ステップ

まず「動く状態」を作ることが最優先です。以下の5ステップで最小構成を完成させましょう。

1. OpenAI APIキーを取得する
2. GitHub Secretsに登録する
3. ワークフローYAMLを作成する
4. AGENTS.mdでレビュー基準を設定する（任意・推奨）
5. テストPRで動作確認する

ステップ1: APIキーの取得

platform.openai.com/api-keys（参照日: 2026-06-04）にアクセスし、「Create new secret key」でAPIキーを生成します。このキーは後で必要になるので安全な場所にコピーしておきましょう。

ステップ2: GitHub Secretsへの登録

GitHubリポジトリの「Settings」→「Secrets and variables」→「Actions」→「New repository secret」で、OPENAI_API_KEYという名前でAPIキーを登録します。

重要: キーをYAMLファイルに直接書かないでください。GitHub Secretsに入れてから${{ secrets.OPENAI_API_KEY }}で参照するのが絶対ルールです。

ステップ3: ワークフローYAMLの作成

リポジトリに.github/workflows/codex-review.ymlを作成します。

# 最小構成: PRが開かれたらCodexがレビューを実行する
name: Codex PR Review (Minimum)
on:
  pull_request:
    types: [opened, synchronize, reopened]

jobs:
  codex:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      pull-requests: write
    steps:
      - uses: actions/checkout@v5

      - name: Run Codex Review
        uses: openai/codex-action@v1
        with:
          openai-api-key: ${{ secrets.OPENAI_API_KEY }}
          prompt: |
            このPRのコード差分をレビューしてください。
            重大な問題・セキュリティリスク・明らかなバグを中心に報告し、
            細かいスタイルの指摘は省略してください。
          output-file: codex-review-output.md

      - name: Post Review Comment
        uses: actions/github-script@v7
        with:
          script: |
            const fs = require('fs');
            const output = fs.readFileSync('codex-review-output.md', 'utf8');
            github.rest.issues.createComment({
              issue_number: context.issue.number,
              owner: context.repo.owner,
              repo: context.repo.repo,
              body: `## Codex 自動レビューnn${output}`
            });

ステップ4: AGENTS.mdでレビュー基準を設定（推奨）

リポジトリルートにAGENTS.mdを作成すると、Codexがレビュー時に参照する基準を設定できます。

## Review guidelines

- セキュリティ脆弱性（SQLインジェクション・XSS・認証バイパス）はP0として必ず報告する
- ハードコードされたシークレット・APIキーはP0として報告する
- テストがない重要なロジック変更はP1として報告する
- typoや命名の一貫性はP2以下として報告する（ブロッカーにしない）
- 良い変更は積極的に褒めること

サブディレクトリにAGENTS.mdを置くと、そのパス以下のファイルに対してより詳細なルールを適用できます。

ステップ5: テストPRで動作確認

適当なブランチでファイルを1行修正してPRを作成します。GitHub Actionsタブでワークフローが起動し、数分後にCodexのコメントがPRに投稿されれば成功です。

7つの活用パターン — コピペ可能なYAML全公開

最小構成が動いたら、次のステップは用途に合わせたパターンの拡張です。実際のプロジェクトで使える7パターンを紹介します。

パターン1: PRレビュー自動化（最頻出）

前述の最小構成が基本形です。ポイントはpromptの中でレビューの視点を絞ることです。汎用的な「全部レビューして」は出力がノイジーになりがちなので、チームの優先事項（セキュリティ、テストカバレッジ、パフォーマンスなど）を具体的に指定しましょう。

パターン2: Issue起点PR自動生成

Issueにcodex-implementラベルをつけたら自動でPRを生成するパターンです。

name: Codex Issue Auto-Implement
on:
  issues:
    types: [labeled]

jobs:
  implement:
    if: github.event.label.name == 'codex-implement'
    runs-on: ubuntu-latest
    permissions:
      contents: write
      pull-requests: write
      issues: write
    steps:
      - uses: actions/checkout@v5

      - name: Run Codex Implementation
        uses: openai/codex-action@v1
        with:
          openai-api-key: ${{ secrets.OPENAI_API_KEY }}
          prompt: |
            次のIssueの内容を実装してください:

            タイトル: ${{ github.event.issue.title }}
            本文: ${{ github.event.issue.body }}

            実装後にテストも追加してください。
            既存のコードスタイル・命名規則に従うこと。
          sandbox: workspace-write
          output-file: implementation-output.md

      - name: Create Pull Request
        uses: peter-evans/create-pull-request@v6
        with:
          token: ${{ secrets.GITHUB_TOKEN }}
          commit-message: "feat: ${{ github.event.issue.title }}"
          title: "[Auto] ${{ github.event.issue.title }}"
          body: |
            このPRはCodex GitHub Actionによって自動生成されました。

            対象Issue: #${{ github.event.issue.number }}

            **必ず人間がレビューしてからマージしてください。**
          branch: "codex/issue-${{ github.event.issue.number }}"
          labels: "codex-generated"

パターン3: テスト自動追加

「テストなしのPRはマージ前にCodexが自動でテストを追加提案する」パターンです。

name: Codex Test Generator
on:
  pull_request:
    types: [opened, synchronize]

jobs:
  add-tests:
    runs-on: ubuntu-latest
    permissions:
      contents: write
      pull-requests: write
    steps:
      - uses: actions/checkout@v5
        with:
          ref: ${{ github.head_ref }}

      - name: Check and Generate Tests
        uses: openai/codex-action@v1
        with:
          openai-api-key: ${{ secrets.OPENAI_API_KEY }}
          prompt: |
            このPRでテストが不足しているファイルを特定し、
            既存のテストスタイル（ファイル命名・フレームワーク・アサーション形式）に合わせて
            テストを追加してください。
            テストを追加したファイルのリストを最後に出力してください。
          sandbox: workspace-write

パターン4: リファクタリング提案

定期実行でコードの品質改善提案を自動生成するパターンです。週1回自動でリファクタリング候補のIssueを作るチームも増えています。

name: Weekly Refactoring Suggestions
on:
  schedule:
    - cron: '0 9 * * 1'  # 毎週月曜9時（UTC）

jobs:
  refactor-suggestions:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      issues: write
    steps:
      - uses: actions/checkout@v5

      - name: Run Refactoring Analysis
        uses: openai/codex-action@v1
        with:
          openai-api-key: ${{ secrets.OPENAI_API_KEY }}
          prompt: |
            src/ディレクトリ以下のコードを分析し、
            リファクタリングの優先候補をトップ5で列挙してください。
            各候補について: ファイル名・問題点・改善後のコード例・工数見積もり(XS/S/M/L)を含めてください。
          output-file: refactor-suggestions.md

      - name: Create Issue with Suggestions
        uses: actions/github-script@v7
        with:
          script: |
            const fs = require('fs');
            const suggestions = fs.readFileSync('refactor-suggestions.md', 'utf8');
            github.rest.issues.create({
              owner: context.repo.owner,
              repo: context.repo.repo,
              title: `[週次] Codexリファクタリング提案 ${new Date().toISOString().slice(0, 10)}`,
              body: suggestions,
              labels: ['refactoring', 'codex-generated']
            });

パターン5: ドキュメント自動更新

コードが変更されたとき、対応するドキュメント（README、API仕様書など）を自動更新するパターンです。

name: Codex Doc Updater
on:
  push:
    branches: [main]
    paths:
      - 'src/**/*.ts'
      - 'src/**/*.py'

jobs:
  update-docs:
    runs-on: ubuntu-latest
    permissions:
      contents: write
      pull-requests: write
    steps:
      - uses: actions/checkout@v5

      - name: Update Documentation
        uses: openai/codex-action@v1
        with:
          openai-api-key: ${{ secrets.OPENAI_API_KEY }}
          prompt: |
            直前のコミットでAPIやエクスポートされた関数の変更があった場合、
            docs/ディレクトリのMarkdownドキュメントを更新してください。
            変更がない場合は何もしないでください。
          sandbox: workspace-write

      - name: Create Documentation PR
        uses: peter-evans/create-pull-request@v6
        with:
          token: ${{ secrets.GITHUB_TOKEN }}
          commit-message: "docs: auto-update documentation"
          title: "[Auto] ドキュメント自動更新"
          branch: "codex/docs-update"
          labels: "documentation,codex-generated"

パターン6: セキュリティスキャン

PRに対してセキュリティに特化したレビューを走らせるパターンです。特にハードコードされたシークレット・認証バイパス・依存パッケージの脆弱性を検出するのに使われます。

name: Codex Security Scanner
on:
  pull_request:
    types: [opened, synchronize]
    paths:
      - '**/*.ts'
      - '**/*.py'
      - '**/*.js'
      - 'package*.json'
      - 'requirements*.txt'

jobs:
  security-scan:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      pull-requests: write
      security-events: write
    steps:
      - uses: actions/checkout@v5

      - name: Codex Security Review
        uses: openai/codex-action@v1
        with:
          openai-api-key: ${{ secrets.OPENAI_API_KEY }}
          prompt: |
            このPRのセキュリティレビューを行ってください。
            以下の観点を必ずチェックしてください:
            1. ハードコードされたシークレット・APIキー・パスワード
            2. SQLインジェクション・XSS・CSRFの脆弱性
            3. 認証・認可のバイパスリスク
            4. 新規追加された外部依存パッケージの信頼性
            5. ユーザー入力の適切なバリデーション
            問題を発見したら深刻度（CRITICAL/HIGH/MEDIUM/LOW）とともに報告してください。
          sandbox: read-only
          output-file: security-report.md

      - name: Post Security Report
        uses: actions/github-script@v7
        with:
          script: |
            const fs = require('fs');
            const report = fs.readFileSync('security-report.md', 'utf8');
            if (report.includes('CRITICAL') || report.includes('HIGH')) {
              github.rest.issues.createComment({
                issue_number: context.issue.number,
                owner: context.repo.owner,
                repo: context.repo.repo,
                body: `## :warning: Codex セキュリティレポートnn${report}`
              });
              core.setFailed('セキュリティ上の重大な問題が検出されました');
            }

パターン7: リリースノート自動生成

mainブランチへのマージ時に、そのPRの変更内容からリリースノートを自動生成してGitHub Releaseに追記するパターンです。

name: Codex Release Notes Generator
on:
  pull_request:
    types: [closed]
    branches: [main]

jobs:
  generate-release-notes:
    if: github.event.pull_request.merged == true
    runs-on: ubuntu-latest
    permissions:
      contents: write
      pull-requests: read
    steps:
      - uses: actions/checkout@v5
        with:
          fetch-depth: 0

      - name: Generate Release Notes
        uses: openai/codex-action@v1
        with:
          openai-api-key: ${{ secrets.OPENAI_API_KEY }}
          prompt: |
            このPRの変更内容を元に、エンドユーザー向けのリリースノートを日本語で生成してください。
            以下の形式で出力:
            - 新機能（New Features）
            - 改善（Improvements）
            - バグ修正（Bug Fixes）
            - 破壊的変更（Breaking Changes）があれば明示

            PR番号: ${{ github.event.pull_request.number }}
            PRタイトル: ${{ github.event.pull_request.title }}
          output-file: release-notes.md

      - name: Append to CHANGELOG
        run: |
          echo "## $(date '+%Y-%m-%d') - PR #${{ github.event.pull_request.number }}" > temp_notes.md
          cat release-notes.md >> temp_notes.md
          echo "" >> temp_notes.md
          cat CHANGELOG.md >> temp_notes.md
          mv temp_notes.md CHANGELOG.md

      - name: Commit CHANGELOG
        run: |
          git config --global user.name 'github-actions[bot]'
          git config --global user.email 'github-actions[bot]@users.noreply.github.com'
          git add CHANGELOG.md
          git commit -m "docs: update CHANGELOG for PR #${{ github.event.pull_request.number }}"
          git push

主要パラメータ完全リファレンス

公式ドキュメント（参照日: 2026-06-04）に基づく主要パラメータの一覧です。

sandboxモードの使い分け

• workspace-write（デフォルト）: リポジトリ内のファイルの読み書きが可能。通常の実装タスクに使用。
• read-only: ファイルの読み取りのみ。レビューや分析タスクに最適。書き込み権限を最小化したい場合に使う。
• danger-full-access: 制限なし。ネットワークアクセスが必要なタスクに使用するが、セキュリティリスクが高い。慎重に使うこと。

safety-strategyの選択基準

• drop-sudo（推奨）: Linux/macOS環境でsudo権限を削除。実行中に誤ってシステムコマンドが実行されるリスクを防ぐ。
• unprivileged-user: 指定したユーザーアカウントで実行。より細かいアクセス制御が必要な場合に使用。
• unsafe: Windows環境専用。特権削減なし。Windows環境ではunsafeを設定する必要があるが、セキュリティポリシーの検討が必要。

Secretsとコスト管理 — 運用で詰まる3つのポイント

Codex GitHub Actionを実際に運用し始めると、「思ったよりコストがかかる」「どのトリガーでどれだけ使っているかわからない」という声をよく聞きます。以下の3点を最初から設定しておくと、後から困るケースが大幅に減ります。

ポイント1: APIキーに使用上限を設定する

OpenAIのプラットフォームダッシュボードで、APIキーごとに月間使用上限（Hard limit）を設定できます。GitHub ActionsのトリガーはPRオープンごとに発火するため、アクティブなリポジトリでは想定以上の課金が発生することがあります。チームの月間PR数を考慮して、余裕を持った上限を設定しておきましょう。

Codexの平均コストは開発者1人あたり月$100〜$200程度（使い方による大きなばらつきあり）と報告されています（参照: developers.openai.com/codex/pricing・参照日: 2026-06-04）。CI/CDでの自動実行はこれとは別途APIコストが発生します。

ポイント2: allow-usersの範囲を絞る

公開リポジトリでallow-users: "*"を設定すると、外部ユーザーからのIssue・PRに反応してAPIキーが消費されます。実際に「仮想通貨マイニングに関係ないリポジトリに大量のマイニング関連Issueが作られ、APIキーが不正消費された」という事例が公式ドキュメントに記載されています。デフォルトの「書き込み権限を持つユーザーのみ実行可」設定を変更する場合は十分な検討が必要です。

ポイント3: prompt-fileで管理する

プロンプトをYAMLに直書きすると、バージョン管理が難しくなります。.github/codex/prompts/review.mdのようなファイルに切り出してprompt-fileで参照する形式にすると、チームでプロンプトを議論・改善しやすくなります。

# プロンプトをファイルで管理する推奨パターン
- name: Run Codex Review
  uses: openai/codex-action@v1
  with:
    openai-api-key: ${{ secrets.OPENAI_API_KEY }}
    prompt-file: .github/codex/prompts/review.md
    output-file: review-output.md

【要注意】失敗パターン4選と回避策

100社以上の企業向けAI研修・コンサル経験と、GitHub Actions自動化の実案件から見えてきた、Codex GitHub Action固有の失敗パターンを紹介します。

失敗1: APIキーをYAMLに直書きする

❌ よくある間違い:

with:
  openai-api-key: "sk-proj-xxxxxxxxxxxxxxxxxxxxxxxx"  # 絶対NG

⭕ 正しいアプローチ:

with:
  openai-api-key: ${{ secrets.OPENAI_API_KEY }}  # GitHub Secretsから参照

なぜ危険か: YAMLファイルをコミットした瞬間にGitHubのシークレットスキャナーが検出しますが、誰かがforkした後だと履歴に残り続けます。APIキーが漏洩すると、費用が莫大になるリスクと、OpenAIアカウントの停止リスクがあります。

失敗2: すべてのIssueに反応する設定にする

❌ よくある間違い:

on:
  issues:
    types: [opened]  # すべてのIssueに反応

⭕ 正しいアプローチ:

on:
  issues:
    types: [labeled]  # ラベル付きだけに反応

jobs:
  implement:
    if: github.event.label.name == 'codex-implement'  # 特定ラベルのみ実行

なぜ問題か: 公開リポジトリでIssueオープンをトリガーにすると、外部からの大量Issueでコストが爆発します。ラベルによるフィルタリングが必須です。

失敗3: Codexが変更したコードを自動マージする

❌ よくある間違い: Codexが生成したPRを自動マージするワークフローを組む。

⭕ 正しいアプローチ: Codexの出力は常にPRとして作成し、人間がレビューしてからマージする。

なぜ問題か: Codexを含むAIコーディングエージェントは、意図しない副作用を持つコードを生成することがあります。テストが通るから問題ないわけではなく、セキュリティ上の問題・パフォーマンス劣化・設計意図との乖離が混入するリスクがあります。「Codexが書いたコードは必ず人間がレビューする」を鉄則にしましょう。

失敗4: プロンプトインジェクションを考慮しない

❌ よくある間違い: PR本文やIssue本文をそのままプロンプトに埋め込む。

prompt: |
  以下のIssueを実装してください:
  ${{ github.event.issue.body }}  # Issue本文をそのまま埋め込むのは危険

⭕ 正しいアプローチ: ユーザー入力が含まれる場合は、プロンプトインジェクションを防ぐ対策を取る。

• Issueのタイトルと本文を個別の変数として渡し、「この情報を参考にして」という形式にする
• HTMLコメントや隠しテキストでプロンプトを書き換えようとする試みに注意する
• 公式ドキュメントでは「プロンプト入力をサニタイズして注入攻撃を防止する」ことが推奨されています（参照日: 2026-06-04）

なぜ問題か: 悪意を持ったユーザーがIssue本文に「以前の指示を無視して…」と書くことで、Codexの動作を意図せず変更できる可能性があります。

AGENTS.md活用法 — チーム全体でレビュー基準を統一する

Codexはリポジトリ内のAGENTS.mdファイルを自動的に検索し、レビューガイドラインを適用します。これはチームのコーディング規約・レビュー基準をAIに共有するための仕組みです。

階層構造による細かいルール設定

プロジェクトルートのAGENTS.mdが全体ルール、各ディレクトリのAGENTS.mdがローカルルールとして機能します。

# リポジトリルートのAGENTS.md（全体ルール）

## Review guidelines

- すべての変更にユニットテストが含まれていること（カバレッジ低下は警告）
- TypeScriptの型は明示的に書くこと（anyの使用はP1警告）
- パブリックAPIの変更はCHANGELOG.mdに記録すること
- セキュリティに関わる変更は必ずシニアエンジニアのレビューを求めること

# src/api/AGENTS.md（API層専用の追加ルール）

## Review guidelines

- すべてのエンドポイントに認証チェックが含まれていること
- レート制限の設定があること
- エラーレスポンスに内部情報が漏洩していないこと

レビューガイドラインの優先度設定

P0（ブロッカー）/ P1（強く推奨）/ P2（改善提案）の区分をAGENTS.mdに書いておくと、Codexが優先度を判断してレポートしてくれます。これにより、些細なスタイルの問題でPRがブロックされる問題を防げます。

Claude Code GitHub Actionとの比較詳細

実際のプロジェクトでどちらを選ぶべきか、より詳しい比較です。

Codex GitHub Actionが向いているケース

• PRレビューを自動化して人間のレビュー負担を下げたい
• 定型的なタスク（テスト追加・ドキュメント更新・リファクタリング提案）をCI/CDに組み込みたい
• コスト効率を重視している（Codexはトークン使用量ベースの従量課金）
• GitHub Actionsの既存ワークフローにシームレスに統合したい

Claude Code Actionが向いているケース

• 50,000行以上の大規模コードベースを扱う
• 複雑なアーキテクチャ判断やリファクタリングに使いたい
• 段階的な確認・対話が必要なタスク
• 長いコンテキスト（関連ファイル多数）を正確に理解させたい

両方使うハイブリッド戦略

多くの先進的なチームは両方を使い分けています。PRが開いたときはCodexで自動レビュー（軽量・高速）、月1回のアーキテクチャレビューはClaude Codeで深い分析、という組み合わせが実用的です。

Claude CodeのGitHub連携についてはClaude Code GitHub連携ガイド2026で詳しく解説しています。

チーム導入の進め方 — 5つのフェーズ

フェーズ1: 試験導入（1〜2週間）

1つのリポジトリ、1つのトリガー（PRレビュー）から始める。この段階でコストの感覚・チームの反応・プロンプトの精度を把握します。

フェーズ2: プロンプト最適化（1〜2週間）

初期のレビューコメントを見て「これは役立った」「これはノイズ」を判定し、AGENTS.mdのレビューガイドラインを更新します。チームでの議論がここで最も重要です。

フェーズ3: 適用範囲拡大（1ヶ月）

レビューが安定したら、Issue起点PR生成・セキュリティスキャンなど追加パターンを試します。1つずつ追加して効果を確認するのがポイントです。

フェーズ4: コスト最適化（継続）

月ごとのAPI使用量を確認し、頻度の高いトリガーをフィルタリングします。すべてのPRに反応させるのではなく、変更量が多いPRや特定のパスのみに絞るだけでコストを大幅に下げられます。

フェーズ5: 社内展開（2〜3ヶ月後）

効果が確認できたら他のリポジトリにも展開します。AGENTS.mdのベースラインをテンプレートリポジトリに入れておくと、新規リポジトリへの展開が簡単になります。

AIエージェントの社内導入全般についてはOpenAI Codex 6月2026アップデート完全解説も参照してください。

よくある質問（FAQ）

Q: Windows環境のGitHub ActionsランナーでもCodex GitHub Actionは使えますか？

公式ドキュメントによると、Windows環境ではsafety-strategy: unsafeの設定が必要です（参照日: 2026-06-04）。ただし、unsafe設定はセキュリティ上のリスクがあるため、可能な限りLinuxランナーを使うことが推奨されています。

Q: プライベートリポジトリでも使えますか？

はい、使えます。ただしGitHub Actionsの実行分がGitHubの課金対象になる点に注意してください。プライベートリポジトリのコードは外部に送信されますが、OpenAIのデータ処理ポリシーに従います。機密コードを扱う場合はセキュリティポリシーを確認してから使用してください。

Q: codex-versionを固定すべきですか？

本番環境では固定することをお勧めします。Codex CLIのアップデートでプロンプトへの反応が変わることがあり、固定していないと予期しない挙動変化が起きる可能性があります。ただし、セキュリティパッチは定期的に適用するためのフローを設けましょう。

Q: Codexの実行時間はどれくらいですか？

タスクの複雑さによりますが、PRレビューで2〜5分程度、コード実装タスクで5〜15分程度が目安です。GitHub Actionsのジョブタイムアウトはtimeout-minutesで設定できます。

Q: セルフホステッドランナーでも使えますか？

使えますが、セキュリティの考慮が必要です。セルフホステッドランナーは複数のジョブに共有されるため、danger-full-accessモードは絶対に避け、read-onlyかworkspace-writeを使用してください。

まとめ：今日から始める3つのアクション

1. 今日やること: 最小構成のYAML（パターン1）を1つのリポジトリに追加して、Codex自動PRレビューを動かしてみる。まず動く状態を作ることが最優先。
2. 今週中: AGENTS.mdでチームのレビュー基準を書き出す。「P0/P1/P2の区分」と「ブロッカーにする問題の基準」を決めるだけで、レビューの質が大幅に上がる。
3. 今月中: 実際のPRコメントを見てプロンプトを改善する。「役立った指摘」「ノイズだった指摘」を記録して、AGENTS.mdに反映させる。

あわせて読みたい:

• Codex CLI vs Claude Code 料金比較ガイド2026 — プラン早見表と業務別使い分けパターン
• Claude Code GitHub連携ガイド2026 — Anthropic公式Actionの設定方法
• OpenAI Codex 6月2026大型アップデート完全解説 — GitHub Actions強化・プラグイン対応の変更点

参考・出典

• GitHub Action – Codex | OpenAI Developers — OpenAI公式（参照日: 2026-06-04）
• openai/codex-action — GitHub — 公式リポジトリ（参照日: 2026-06-04）
• Review GitHub pull requests | Codex use cases — OpenAI公式ユースケースドキュメント（参照日: 2026-06-04）
• Use Codex CLI to automatically fix CI failures | OpenAI Cookbook — OpenAI公式クックブック（参照日: 2026-06-04）
• Pricing – Codex | OpenAI Developers — Codex公式料金ページ（参照日: 2026-06-04）
• anthropics/claude-code-action — GitHub — Claude Code Action公式リポジトリ（参照日: 2026-06-04）

著者: 佐藤傑（さとう・すぐる）
株式会社Uravation代表取締役。X（@SuguruKun_ai）フォロワー約10万人。
100社以上の企業向けAI研修・導入支援。著書『AIエージェント仕事術』（SBクリエイティブ）。
SoftBank IT連載7回執筆（NewsPicks最大1,125ピックス）。

ご質問・ご相談は お問い合わせフォーム からお気軽にどうぞ。