OpenAI Codexがロック中のMacを操作｜自律エージェント新段階【2026】

「夜のうちに、AIが勝手にPCを動かして作業を終わらせておいてくれる」――数年前なら冗談か近未来SFの話でした。それが2026年5月、OpenAIのCodexというコーディングエージェントの新機能として、ごく普通の製品アップデートの顔をして登場しました。

ポイントは「ロック中のMacでも操作できる」という一点です。これまでAIにPC操作を任せるには、画面を開きっぱなしにして、ログインした状態のまま放置しておく必要がありました。今回のアップデートで、スマホから指示を送れば、ロックされたMacの中でCodexがアプリを開き、クリックし、文字を打ち、メニューをたどっていく。人が席を外していても作業が進む、というわけです。

正直、便利さのインパクトは大きいです。同時に「ロックしてあるはずのPCを、AIが勝手に開けて操作する」と聞くと、ゾワッとする人も多いはず。実際、発表直後のSNSやニュースのコメント欄も「ついにここまで来たか」という興奮と、「セキュリティ的に大丈夫なのか」という不安が真っ二つに分かれていました。この温度差こそが、エージェント時代の象徴だと思います。

この記事では、100社以上のAI研修・導入支援で見てきた実務的な視点から、何が起きたのか・どこまでが本当か・中小企業は何を準備すべきかを、できるだけ冷静に整理します。煽りもせず、過度に怖がりもせず、「自社で判断するための材料」を提供することがゴールです。AIエージェント全体の基礎はAIエージェント導入完全ガイドでまとめているので、合わせて読むと立体的に理解できます。

何が起きたのか — ファクトの全体像

まずは確認できている事実だけを並べます。報道とOpenAIの公式ドキュメントで裏が取れた範囲です。

言い回しがメディアによって微妙に違うので補足します。「AIが勝手にMacのロックを破る」のではありません。あくまでユーザーが事前に明示的に機能をオンにし、必要な権限を手で許可し、操作してよいアプリを指定したうえで、はじめて動く――という前提の積み重ねです。「気づいたら見知らぬAIが自分のMacを開けていた」という類いの話ではない、という点はまず押さえておきたいところです。

仕組み — 「ロックを破る」のではなく「正規の解除フローに乗る」

技術的な肝は、macOSの標準のロック解除フローに参加する「認可プラグイン（Apple authorization plug-in）」です。Locked useをオンにすると、このプラグインがインストールされます。

Codexがロック後にアプリを操作する必要が出たとき、このプラグインがMacを一時的にロック解除します。重要なのは「一時的」かつ「Codex専用」という点で、汎用のリモートロック解除経路を新しく作るわけではありません。OpenAIの公式ドキュメントとMacworldの報道で確認できる範囲では、以下のような多重ガードレールが組み込まれています。

もうひとつ実務上の注意点として、MacBookの画面を閉じると別のスリープモードに入るため、Locked useは機能しません。つまり「フタを閉じて持ち歩いている間に作業」はできず、あくまで「開いた状態でロックしてある（または画面オフの）据え置き運用」が前提です。クラムシェルで外部ディスプレイにつなぐ運用などは、報道時点では挙動の詳細が限定的なので、自社で試すなら慎重に確認したほうがよいでしょう。

この「正規フローに乗る」という設計思想は、地味ですが重要です。世の中には「画面を遠隔操作する系のツール」が山ほどありますが、その多くは独自のリモートデスクトップ経路を作ったり、ロック解除を裏でこっそり通したりします。今回のCodexは、macOSが本来持っている認可の仕組みに参加する形を取っているため、OS側のセキュリティ前提（ロック画面の保護）を壊さずに済んでいる。「OSが用意した道を通る」のと「OSの脇に勝手な抜け道を掘る」のとでは、企業のリスク評価が大きく変わります。前者なら、少なくとも「OSの監査・制御の枠内で動いている」と説明できるからです。

とはいえ、ここで気をつけたいのは「権限を一度許可したら、その後の個々の操作は人が確認していない」という構造です。CodexはアプリごとにユーザーへPermission（許可）を求め、勇気のある人向けに特定アプリを「Always allow（常に許可）」に設定できるとされています。この「常に許可」が曲者で、一度オンにすると、以降そのアプリへの操作は確認なしで通る。便利さと引き換えに、無人運用のリスクが一段上がるスイッチだと理解しておくべきです。機微なデータを扱うアプリには、原則として「常に許可」を付けない。これは後述するガードレール設計の核になります。

研修の現場感で言うと、ここの「正規フローに乗る／専用・短命・全画面カバー」という設計は、AIエージェント製品としてかなり真面目に作られている部類です。とはいえ「設計が真面目＝企業で安全に使える」ではありません。設計の安全性と、運用の安全性は別物。後者は使う側の責任範囲です。

どのプラン・どの環境で使えるのか — ここは正直「まだ霧の中」

読者がいちばん気になるであろう「で、うちのプランで使えるの？」という点ですが、ここは正直にお伝えします。どのサブスクリプション（ChatGPT Plus／Pro／Business／Enterpriseなど）が必要かは、報道時点でも公式ドキュメントでも明示されていません。

また、対応環境についても注意が必要です。Codexの公式リポジトリには、Intel版MacでLocked useを有効化しようとするとネイティブコンポーネントの署名エラーで失敗する、という不具合報告が上がっています。Apple Silicon（M系チップ）と Intel で挙動が分かれている可能性があり、「手元のMacで必ず動く」とは限りません。

こういう「まだ詳細が固まっていない新機能」を、確定情報のように社内へ展開するのは事故のもとです。次の表に、現時点で言い切れること／言い切れないことを分けておきます。

なぜこれが重要なのか — 「AIが物理PCを操作する」段階に入った

個々の機能の便利さ以上に大きいのは、「AIエージェントが、人の介在なしに物理的なPCを操作する」段階が、研究デモではなく一般向け製品として現れたことです。AI導入戦略の全体像で繰り返し書いてきたとおり、AI活用は「文章を書かせる」フェーズから「業務そのものを代行させる」フェーズへ移っています。今回はその象徴的な一歩です。

これまでのAIエージェントは、たいてい「サンドボックス（隔離環境）の中で完結する作業」が中心でした。ブラウザ操作も仮想環境の中、コード生成もクラウド側。ところが「あなたの実機のMac」を「ロックしたまま」操作するとなると、対象は本物の業務環境です。社内の本物のアプリ、本物のファイル、本物のアカウントが射程に入る。便利さの裏で、扱う対象の現実度が一段上がった、ということです。

なぜこの違いが効くのか。隔離環境の中なら、AIが間違えても「環境を作り直せばいい」で済みます。最悪リセットすれば元に戻る。ところが実機の業務アプリを操作させると、間違いがそのまま現実の業務データに反映されます。送ってはいけないメールを送る、消してはいけないファイルを消す、上書きしてはいけない数字を上書きする――どれも「リセット」が効かない世界の話です。生成AIの誤り（ハルシネーション）は出力を見て弾けばよかったのに対し、実機操作エージェントの誤りは「すでに実行されてしまった操作」になる。ここが本質的に難しいところです。

もうひとつ、見落とされがちな論点があります。「無人で動く」ということは、エラーが起きたときに誰も止められない、ということでもあります。人が画面を見ていれば「あ、変なことをしようとしている」と気づいて中断できる。でもロック中・無人なら、エージェントが想定外のループに入ったり、誤った前提で延々と作業を続けたりしても、朝になるまで誰も気づきません。エージェントの「自律性」は、便利さと「暴走時の被害の大きさ」がセットになっている。この両面を分けて評価できるかどうかが、企業の導入判断の質を決めます。

賛否両論 — 利便性 vs セキュリティ・統制

この手のニュースは「すごい！」か「危ない！」のどちらかに振れがちですが、実務で考えるなら両方を並べるのが正解です。

楽観論：無人運用・夜間バッチが現実になる

いちばん分かりやすい価値は「人がいない時間も作業が進む」こと。たとえば、夜のうちにレポートのデータを各アプリから集めて整形しておく、定型的なGUI作業をまとめて回しておく、といった使い方です。これまで「画面を開いたまま放置」しなければできなかったことが、ロック状態でできる。セキュリティ的にも「開きっぱなし放置」よりはマシ、という見方すらできます。

中小企業にとっては、夜間や休日に人を貼り付けられない定型作業を肩代わりしてくれる可能性があり、人手不足の現場ほど刺さるポテンシャルがあります。具体的なイメージとしては、各種ツールに散らばったデータを朝までに1つの形に集めておく、Webからの定期的な情報収集とまとめ、複数アプリをまたぐ転記作業の下ごしらえ、といった「人がやると退屈で時間がかかるが、判断はほぼ要らない」作業です。こうした作業は、これまでRPA（業務自動化ツール）で頑張って組んでも、画面レイアウトが少し変わるたびに壊れて保守が大変でした。GUIを「見て」操作するエージェントは、その脆さをある程度吸収してくれる可能性があります。

もうひとつの価値は「リモートで指示できる」こと。手元のスマホからMacにタスクを投げられるので、外出先で思いついた作業を会社のMacに任せておく、といった使い方ができます。働き方が分散している今の時代に合った機能ではあります。

慎重論：「誰が・いつ・何をしたか」が曖昧になる

一方で、企業のセキュリティ・内部統制の観点から見ると、論点は明確です。「その操作をしたのは人なのか、AIなのか。いつ、何の権限で、何を触ったのか」が追えなくなること。

ロック中に動くということは、その場に人がいません。人がいない状態で本物の業務アプリが操作されると、監査ログ上は「そのユーザーが操作した」ように見える可能性があります。後から「これは誰がやった操作？」と問われたとき、「AIエージェントが自動でやりました」では、監査・コンプライアンス上は通りにくい。特に会計・人事・顧客情報を扱うアプリでは、ここが致命的になり得ます。

研修先でよく出る質問が「AIに任せた作業で何かトラブルが起きたら、責任は誰が取るんですか？」というものです。実機操作エージェントの時代は、この問いがいっそう重くなります。答えは「権限を与えた人・組織」です。だからこそ、与える権限の範囲と記録の取り方を、使い始める前に決めておく必要があるんです。

OpenAI側も、公式ドキュメントで「タスクは狭く保つ」「機微な操作のときは席を外さない」「秘密情報を要する作業は避ける」「許可プロンプトはよく読む」といった注意を促しています。裏を返せば、「広く・無人で・機微情報を扱う」使い方は、メーカー自身が想定リスクと見ている、ということです。

もう一段踏み込むと、企業のセキュリティ担当が気にすべきは「アカウントの権限」と「エージェントの行動範囲」が一致していないことです。たとえば、あなたの業務アカウントが顧客管理システムや経理ソフトにフルアクセスできるなら、そのアカウントで動くエージェントも理屈の上では同じ範囲に手が届きます。人間なら「これは触っちゃダメだな」と常識で止まりますが、エージェントはタスクに忠実に動くだけ。与えた権限の広さが、そのまま「やらかせる範囲の広さ」になる。だからこそ、後述する『専用アカウント・最小権限』が効いてくるわけです。

監査ログの観点も補足しておきます。多くの業務SaaSやアプリは「ユーザー単位」で操作ログを取っています。つまり、あなたのアカウントでエージェントが操作すれば、ログには「あなたが操作した」と記録される。これが内部統制上の落とし穴で、いざ監査で「この操作は誰が？」と問われたとき、ログ上は人間とAIの区別がつかないことがあります。実機操作エージェントを業務に組み込むなら、最低限「人がやった操作」と「エージェントがやった操作」を後から切り分けられる設計にしておかないと、説明責任を果たせなくなります。

日本企業・中小企業への影響

日本の中小企業の文脈に落とすと、影響は次の3層に分かれます。

特に中小企業で起こりがちなのが、「便利そうだから現場が勝手に使い始める」パターンです。情シス専任がいない会社ほど、ツール導入が現場主導になり、気づいたら本番アカウントでエージェントが回っていた――という事態になりやすい。今回の機能は「実機を・ロック中に・無人で」操作するため、この野良導入が起きると影響が読めません。

逆に言えば、ここを最初に整理できる会社にとっては大きなチャンスでもあります。大企業は社内規程やセキュリティ部門の都合で「新機能は当面禁止」となりがちですが、中小企業は意思決定が速い。経営者が「うちはこの範囲なら任せる」と線を引ければ、その日から実験を始められます。人手不足が深刻な日本の中小企業ほど、エージェントに定型作業を肩代わりさせる価値は大きい。問題は「使うか・使わないか」ではなく、「統制しながら使える状態を、どれだけ早く作れるか」です。

日本特有の事情も一つ挙げておきます。日本企業はまだ「業務の属人化」が強く、誰が・どの手順で・何をやっているかが文書化されていないケースが多い。これはAIエージェントへの委任と相性が悪いんです。エージェントに任せるには、まず人間がやっている作業を手順として言語化する必要がある。皮肉なことに、AIエージェント導入の最大の準備作業は「自社の業務をちゃんと棚卸しすること」だったりします。今回のニュースを「うちの業務、そもそも整理できてる？」を見直すきっかけにできると、導入の有無にかかわらず会社の地力が上がります。

事例区分：想定シナリオ。100社以上の研修・導入支援で見てきた典型的なつまずき方をもとにした構成例です。特定の実在企業の事例ではありません。

たとえば、営業事務の担当者が「夜間にレポートを自動でまとめてくれるなら助かる」と個人判断でエージェントに顧客管理アプリの操作を許可してしまう。本人は善意で効率化しているだけ。でも、その操作には顧客情報の閲覧が含まれていて、しかもロック中・無人で走るため、誰も中身を確認していない。これが「悪意ゼロでも統制が崩れる」典型パターンです。

企業がとるべきアクション

では、何を準備すればいいのか。研修現場で企業に伝えている順番で、実務的に着手できる4つに絞ります。

アクション1：まず「任せてよい業務／ダメな業務」を線引きする

最初にやるべきは、ツールの設定いじりではなく業務の仕分けです。「AIエージェントに実機操作を任せてよい業務」と「絶対に人がやる業務」を、紙1枚でいいので分けておく。判断軸はシンプルで、(1) 扱う情報の機微度、(2) 操作の不可逆性（取り消せるか）、(3) 監査要件の有無、の3つです。会計・人事・顧客個人情報・送金/外部送信を伴う操作は、原則「人がやる」側に置くのが無難です。

具体的には、次のような早見表を作っておくと現場が迷いません。

この線引きは一度作って終わりではなく、エージェントの能力が上がるたびに見直す前提で運用します。「今はダメだけど、記録と承認の仕組みが整ったら任せてもいい」という中間ゾーンを意識しておくと、過度に保守的にならずに済みます。

アクション2：実機操作は「専用アカウント・最小権限」で隔離する

個人の業務アカウントでエージェントを動かさないこと。可能なら、エージェント用に権限を絞った専用アカウント・専用端末を用意し、触れるアプリ・データを最小限にする。今回のCodexも「操作してよいアプリを明示的に許可する」設計なので、ここで広げすぎない。「Always allow（常に許可）」は便利ですが、機微なアプリには付けない、を徹底します。

アクション3：記録（誰が・いつ・何を）を取れる状態にしてから使う

「AIがやった操作」を後から追えるようにしておくこと。最低限、(1) どのタスクを、(2) いつ、(3) どのアプリに対して走らせたか、をログとして残す運用を決めてから始めます。記録の仕組みがないまま無人運用に踏み込むのが、いちばん危険です。トラブル時に「説明できない」状態だけは避ける。

大げさなログ基盤を組む必要はありません。最初はスプレッドシート1枚で十分です。「いつ・誰の指示で・どのエージェントに・どのアプリを・何の目的で操作させたか」を書く運用を回すだけで、後から振り返れる状態になります。重要なのはツールの高度さではなく、「記録を取る文化」を最初に作ること。ここをサボると、半年後に「なんかエージェントがいろいろやってるけど、誰も全体像を把握していない」というブラックボックスが出来上がります。

アクション4：小さく・人が見ている範囲から始める

いきなり「夜間・無人・基幹アプリ」で使わない。まずは影響の小さい・取り消せる作業で、人が同席している昼間の時間帯に試す。メーカー自身が「タスクは狭く」「機微な操作では席を外さない」と注意しているとおり、最初は監視付きの小さな運用で挙動と限界を体感してから、徐々に任せる範囲を広げるのが定石です。

研修現場でお伝えしているのは、「まず1か月、1つの業務だけで回してみる」という進め方です。あれもこれもと欲張ると、トラブルが起きたときに原因が特定できません。1業務に絞れば、エージェントの得意・不得意、どこで人の確認が必要か、どんなエラーが起きるかが手触りで分かる。その学びを次の業務に横展開する。この「小さく試して、学んで、広げる」のサイクルを回せる組織が、結局いちばん速くエージェントを使いこなします。逆に、最初から完璧な統制ルールを作ろうとして1年経っても始められない、というのが日本企業のよくある失敗です。

4つのアクションを一枚にまとめると、こうなります。

よくある質問（FAQ）

Q1. AIが勝手に私のMacのロックを解除して操作するんですか？

いいえ。ユーザーが事前に「Locked use」を明示的にオンにし、画面収録とアクセシビリティの権限を手で許可し、操作してよいアプリを指定した場合にのみ動きます。汎用のリモートロック解除経路が勝手に作られるわけではなく、Codex専用・短命・全画面カバーといったガードレールが入っています。

Q2. 物理的にPCの前に人が来たらどうなりますか？

物理キーボードやポインタの操作を検知すると、Macは即座に再ロックし、手動でロック解除するまで自動解除を止める設計になっています。近くにいる人に画面の中身が見えないよう、一時解除中は全ディスプレイをCodexが覆います。

Q3. ターミナルや管理者権限の操作も自動化できますか？

できません。ターミナル系アプリ、Codex自身、システムの管理者承認プロンプトは自動化の対象外です。これらを許すとCodexのセキュリティポリシーを迂回できてしまうため、意図的に除外されています。

Q4. 日本でも使えますか？どのプランが必要ですか？

地域制限として明示されているのはEEA（欧州経済領域）・英国・スイスの除外で、日本は対象に含まれて見えます。ただし必要なサブスクリプション（Plus/Pro/Business/Enterpriseなど）は報道時点で明示されておらず、Intel Macでは有効化時の署名エラー報告もあります。企業導入の際は、最新の利用規約と自社環境での動作を必ず確認してください。

Q5. MacBookを閉じて持ち歩いている間も動きますか？

動きません。MacBookの画面を閉じると別のスリープモードに入るため、Locked useは機能しません。あくまで開いた状態でロック（または画面オフ）にしてある据え置き運用が前提です。

Q6. 既存のRPAやマクロと何が違うんですか？

RPAやマクロは「決まった座標・決まった手順」を機械的に再生する仕組みで、画面レイアウトが変わると壊れやすい弱点がありました。実機操作エージェントは画面を「見て」状況を判断しながら操作するため、ある程度の変化を吸収できる柔軟さがあります。一方で、判断が入る分だけ「想定外の操作をするリスク」も生まれます。柔軟さと予測しにくさはトレードオフだと理解しておくとよいでしょう。

Q7. 中小企業がいちばん最初にやるべきことは何ですか？

ツールの設定より先に、「AIエージェントに実機操作を任せてよい業務／ダメな業務」を線引きすることです。会計・人事・顧客個人情報・外部送信を伴う操作は原則「人がやる」側に置き、影響の小さい取り消せる作業から、人が見ている範囲で小さく試すのが安全です。

まとめ

OpenAI Codexの「ロック中のMac操作」は、便利さと不安が同居する、いかにもエージェント時代らしいニュースでした。要点を整理します。

• 「ロックを破る」のではなく、macOSの正規解除フローに乗る認可プラグイン方式。短命・Codex専用・全画面カバー・物理操作で即再ロック、と設計はかなり真面目
• ただし必要プランやIntel Macでの安定性など、報道時点では詳細が固まっていない部分がある。確定情報のように社内展開しないこと
• 本質は「AIが実機の業務環境を、人の不在時に操作する」第3世代に入ったこと。論点は利便性ではなく「誰が・いつ・何をしたかの統制と監査」
• 企業がやるべきは、業務の線引き → 専用アカウント・最小権限 → 記録できる状態 → 小さく監視付きで開始、の順

個人的には、こういう機能が出てくるたびに「使うか・使わないか」より「どう使う組織か」が問われていると感じます。AIエージェントの能力は確実に上がり続けるので、止めることより、統制しながら乗りこなす準備のほうが現実的です。今回の「ロック中のMac操作」は、まだ詳細が固まっていない発展途上の機能ですが、向かっている方向は明確です。「AIに業務を任せる」のが当たり前になる前提で、自社の業務と権限を整理しておく。その準備は、どのツールを選ぶかとは独立して、今日から始められます。

正直にお伝えすると、実機操作エージェントはまだ「任せて完全に放置できる」段階ではありません。誤操作のリスクも、統制の難しさも残っています。だからこそ「AIに丸投げ」ではなく「AIと協業」――人が線を引き、記録を取り、最終的な責任を持つ――という姿勢が、しばらくは正解であり続けると思います。技術が成熟するのを待つのではなく、成熟に向けた準備運動を今のうちに済ませておく。それが、変化の速いこの分野でいちばん損をしない立ち回りです。

あわせて読みたい：

• Claude Code 法人導入 完全ガイド — 開発エージェントを企業で安全に使うための権限設計・運用ルール
• Claude Opus 4.8 活用ガイド — 最新モデルの実務での使いどころ
• Anthropic 製品比較ガイド — エージェント系プロダクトの選び方

参考・出典

• OpenAI’s Codex Can Now Use Your Mac Even When It’s Locked — MacRumors（参照日：2026-05-29）
• OpenAI’s Codex is now smart enough to control your Mac even when it’s locked — Macworld（参照日：2026-05-29）
• Computer Use – Codex app — OpenAI Developers 公式ドキュメント（参照日：2026-05-29）
• OpenAI’s Codex Can Use macOS Apps Even When Your Mac Is Locked — The Mac Observer（参照日：2026-05-29）
• Codex Desktop: locked computer use cannot be enabled on macOS Intel due to native component signing errors — GitHub openai/codex Issue #24207（参照日：2026-05-29）

著者：佐藤傑（さとう・すぐる）
株式会社Uravation代表取締役。X（@SuguruKun_ai）フォロワー約10万人。100社以上の企業向けAI研修・導入支援。著書『AIエージェント仕事術』（SBクリエイティブ）。SoftBank IT連載7回執筆（NewsPicks最大1,125ピックス）。

ご質問・ご相談は お問い合わせフォーム からお気軽にどうぞ。