본문으로 건너뛰기

Codex Agent Plugins & 카탈로그 페더레이션 (v0.147.0): 실전 가이드

중급

2026년 8월 7일 OpenAI가 Codex CLI v0.147.0을 출시했습니다. 대부분의 보도는 이를 하나의 불렛으로 납작하게 만들었습니다 ("이제 플러그인, 멋짐"). 실제 릴리스는 네 가지를 한꺼번에 바꾸며, 그중 셋은 당신이 오늘 CI에 갖고 있을 스크립트를 조용히 깨뜨립니다: 이식 가능한 Agent Plugins가 임시 스킬 설치를 대체하고 4계층 카탈로그에서 병합됨; 새로운 --approve-for-me 플래그는 "모두 자동 승인"처럼 읽히지만 그렇지 않음; 오래된 --full-auto 단축키는 제거됨; 그리고 Codex가 이제 옵트인 MCP 2026-07-28과 비차단 서버 시작을 제공. 각각 업그레이드 전에 알아야 할 함정이 있습니다.

이 페이지는 Claude Code Skills, subagents, MCP를 이미 이해하는 독자를 위한 실전 필드 가이드 — Codex 버전이 실제로 무엇을 하는지, 어디가 다른지, 월요일 아침 워크플로에서 무엇을 바꿔야 하는지 알고 싶은 사람을 위한 것입니다.

What you'll learn
  • Codex CLI v0.146.1(8월 5일)과 v0.147.0(8월 7일)에서 정확히 무엇이 출시됐고 왜 둘이 함께 중요한지 파악
  • 4계층 플러그인 카탈로그 — 로컬, 개인, 워크스페이스, 리모트 — 와 실제로 어떤 플러그인이 이기는지 결정하는 병합/중복 제거 규칙 이해
  • `--approve-for-me`를 올바르게 읽기: 이것은 리뷰 패스이지 샌드박스 우회가 아님; OS 레벨 샌드박스는 유지됨
  • 다음 CI 실행이 조용히 실패하기 전에 제거된 `--full-auto` 플래그에서 마이그레이션
  • Codex에서 MCP 2026-07-28에 옵트인할 시점 결정 — 그리고 비차단 서버 시작이 무엇을 주는지

두 릴리스 그림: 0.146.1 그다음 0.147.0​

8월 드롭은 실제로 48시간 간격의 두 릴리스이며, 이를 하나로 읽으면 무엇이 바뀌었는지 혼란스러워집니다.

Guided walkthrough1 of 3
  1. 조용한 포인트 릴리스이지만, 사이버 능력 태그가 붙은 모델(GPT-5.6-Cyber를 포함하는 같은 클래스)의 *시작 자세*를 바꿨습니다. 자동 승인 기본값이 조여집니다: 네트워크, 자격증명 읽기, 프로세스 관리는 이제 오래된 관대한 기준선에 의존하는 대신 명시적 화이트리스트가 필요합니다. Codex는 또한 터미널에서 권한 변경을 설명하기 시작했습니다 — 요청이 왜 차단됐는지 볼 수 있지 그냥 차단됐다는 것만 보이지 않습니다.

이식 가능한 Agent Plugins: 파일 수준에서 무엇이 바뀌었나​

Codex는 2026년 내내 Skills — 어떤 규격에 맞는 에이전트든 로드할 수 있는 SKILL.md + 형제 폴더 — 를 가지고 있었습니다. v0.147.0은 그 위에 패키지 계층을 추가합니다: Agent Plugins. 플러그인은 카탈로그에서 이름으로 설치할 수 있는 단일 아티팩트로 하나 이상의 스킬, MCP 서버, 프롬프트, 설정을 번들할 수 있는 배포 가능한 단위입니다. Skills는 에이전트 간 이식성을 유지하며, 플러그인은 Codex 자체의 패키징 및 배포 계층입니다.

중요한 변화는 어떻게 발견되는지입니다. v0.147.0 이전에는 스킬 디렉토리를 프로젝트나 개인 폴더에 손으로 복사했습니다. v0.147.0 이후에는 Codex가 네 곳을 보고 결과를 병합합니다.

4계층 카탈로그 — 그리고 누가 이기는지 결정하는 병합 규칙​

Codex는 고정된 우선순위 순서로 네 카탈로그를 검색합니다. 두 카탈로그가 같은 이름의 플러그인을 담고 있으면 우선순위가 높은 것이 이기고 낮은 우선순위의 사본은 숨겨집니다.

계층위치소유자일반적 사용
1. 로컬리포 안의 .codex/plugins/프로젝트에 커밋됨리포 특유의 도구; 브랜치와 함께 이동
2. 개인~/.codex/plugins/당신, 당신의 머신에만자체 손수 만든 또는 실험적 플러그인
3. 워크스페이스팀 공유 워크스페이스 스코프팀공유 컨벤션, 리뷰 플로우, 배포 스크립트
4. 리모트구성한 마켓플레이스 루트벤더 + 커뮤니티marketplace.openai.com 또는 내부 레지스트리의 공개 플러그인

병합 규칙: 결과는 플러그인 이름별로 중복 제거되며, 가장 높은 우선순위 사본이 먼저 표면화됩니다. 리포의 .codex/plugins/terraform-drift/에 커밋된 terraform-drift 플러그인은 같은 이름의 리모트 카탈로그 버전을 조용히 가립니다. 이는 설계상 그렇습니다 — 리포가 알려진 좋은 버전을 고정할 수 있어야 함 — 하지만 업그레이드 시 "왜 내 플러그인이 문서와 다르게 동작하지?"의 1위 원인입니다.

동작을 디버그하기 전에 codex plugin list를 읽으세요

codex plugin list는 각각이 해결된 소스 계층과 함께 설치된 플러그인을 보여줍니다. 플러그인이 놀라운 일을 하고 있다면 이것이 처음 실행할 명령입니다 — 사용하고 있는 버전이 생각하는 버전이 아닐 수 있습니다.

카탈로그 구성 — 최소 config.toml​

마켓플레이스 엔드포인트와 자동 업데이트 동작은 Codex의 config.toml에서 설정됩니다. v0.147.0 기본값은 auto_update = false를 유지하며, 재현성에 옳은 선택이지만 업데이트를 의도적으로 실행해야 함을 의미합니다.

# ~/.codex/config.toml
[plugins]
enabled = true
marketplace_roots = [
  "https://plugins.internal.example.com",
  "https://marketplace.openai.com"
]
auto_update = false
update_check_interval_hours = 24

카탈로그 항목 제한이 v0.147.0에서 512에서 2,048로 상향되었습니다 — 큰 내부 레지스트리를 가리키면 중요한 작은 숫자. 512 아래에서는 상한을 넘는 플러그인이 검색 결과에서 조용히 잘렸습니다; 엔터프라이즈 팀이 이걸 자주 부딪히자 OpenAI가 천장을 올렸습니다.

플러그인 작업 — 일상 명령​

병합된 카탈로그를 대화형 선택기에서 탐색

/plugins

네 계층 모두 한 번에 검색

codex plugin marketplace search "terraform"

이름으로 가장 높은 우선순위 매치 설치

codex plugin install terraform-drift

설치된 것과 각각이 어느 계층에서 왔는지 보기

codex plugin list

설치된 모든 플러그인 업데이트 (옵트인 — auto_update 기본 꺼짐)

codex plugin update

플러그인 설치 내부의 세 가지 보안 강화​

v0.147.0의 플러그인 설치 경로는 세 가지를 조용히 조였습니다 — 모두 "설치 작동"의 의미를 바꾸므로 알아둘 가치가 있습니다.

Guided walkthrough1 of 3
  1. 플러그인 패키지에 심링크가 있으면 Codex는 따라가는 대신 심링크를 건너뜁니다. 이는 경로 순회 공격의 전체 클래스를 차단합니다 — 악의적인 플러그인이 더 이상 `plugin/config` → `/etc/passwd`를 링크할 수 없습니다. 트레이드오프: 공유 자산을 위해 심링크를 사용한 합법 패키지는 인라인해야 합니다.

--approve-for-me: 실제로 하는 일 (그리고 하지 않는 일)​

이름은 "모든 요청을 자동 승인"처럼 읽힙니다. 그것이 플래그가 하는 일이 아닙니다. --approve-for-me는 활성 샌드박스 모드와 승인 정책 구성에 대해 각 요청을 판결하는 자동 리뷰 패스를 통해 승인 요청을 라우팅합니다. 정책이 "예, 이것은 화이트리스트 안에 있음"이라고 하면 요청이 프롬프트 없이 진행됩니다. 정책이 "아니오 또는 불명확"이라고 하면 요청이 거부됩니다 — 단지 실행 중간에 질문받지 않는 것뿐입니다.

두 가지는 여전히 유효합니다:

  • OS 레벨 샌드박스는 여전히 시행됩니다. Linux에서는 Bubblewrap을 통해; macOS에서는 플랫폼 샌드박스를 통해. --approve-for-me는 샌드박스를 벗어날 수 없습니다; 그 안에서 프롬프트를 자동 응답할지 결정할 수 있을 뿐입니다.
  • 사이버 능력 모델은 자동으로 v0.146.1의 더 안전한 기본값을 받습니다. 네트워크 접근, 자격증명 읽기, 프로세스 관리는 --approve-for-me가 뭐라 하든 명시적으로 화이트리스트되지 않으면 거부됩니다.

올바른 멘탈 모델: --approve-for-me는 정책 파일을 사람으로 바꿉니다. 정책이 느슨하면 이 플래그는 위험합니다; 정책이 엄격하면 이 플래그는 무인 실행을 위한 빠진 조각입니다.

대화형 실행 — 정책이 승인을 판결, 샌드박스는 유지

codex --approve-for-me --sandbox workspace-write "refactor auth and run tests"

구조화된 출력 계약을 가진 exec (비대화형) 실행

codex exec --approve-for-me --sandbox workspace-write \
--output-schema '{"type":"object","properties":{"passed":{"type":"boolean"}}}' \
"run the full test suite"

플래그와 합리적으로 어울리는 최소 승인 정책:

# ~/.codex/config.toml
[approval_policy]
sandbox_mode = "workspace-write"

[approval_policy.network]
allowed = ["api.github.com", "registry.npmjs.org"]

그 허용 목록에 없는 모든 것은 거부됩니다 — --approve-for-me에 의해서도.

조용한 breaking change: --full-auto가 제거됨​

codex exec --full-auto를 호출하는 CI나 Makefile이 있으면 v0.147.0에서 깨집니다. 플래그가 사라졌습니다. 대체는 명시적입니다:

# v0.147.0 이전 (이제 깨짐)
codex exec --full-auto "run tests"

# v0.147.0 문법
codex exec --sandbox workspace-write "run tests"

두 개는 동일하지 않습니다: --full-auto는 샌드박스 선택 과 승인 정책 선택을 결합했습니다. 새 형식은 샌드박스를 명시적으로 명시하도록 요구하며, "나에게 프롬프트하지 마" 절반을 다시 원한다면 --approve-for-me를 추가하세요. 공유 러너를 업그레이드하기 전에 grep해 볼 가치가 있습니다.

Codex에서 MCP 2026-07-28 — 실제로 얻는 세 가지​

Codex는 v0.147.0에서 새 MCP 스펙을 옵트인으로 만들었습니다. 의존하는 서버가 마이그레이션했으면 켜세요; 그렇지 않으면 끄세요. 스위치를 넘길 때의 세 가지 구체적 승리:

  • 페이지네이션된 발견. 200개 이상의 도구를 노출하는 서버는 더 이상 거대한 원샷 목록을 강요하지 않습니다; 클라이언트가 페이지를 넘깁니다. 첫 도구까지의 지연 시간이 훨씬 낮아집니다.
  • 다중 라운드 요청. 단일 논리적 작업이 여러 클라이언트↔서버 라운드에 걸칠 수 있습니다 — 대화형 폼, 2단계 확인, 후속 토큰을 반환하는 리소스 읽기를 생각하세요. 2026-07-28 이전에는 이를 하나의 페이로드에 억지로 밀어 넣어야 했습니다.
  • 비차단 서버 시작. Codex는 더 이상 느린 MCP 서버에서 자체 부팅을 차단하지 않습니다. 4초 걸리는 서버가 예전에는 전체 CLI를 얼렸습니다; 이제 Codex는 시작하고 서버는 준비되었을 때 준비됨으로 표시됩니다.

이것이 Claude Code에 어떻게 매핑되는가, 하나의 표로​

Claude 본능이라면 이것이 같은 개념의 번역 표입니다.

개념Codex CLI (v0.147.0)Claude Code
이식 가능한 명령 단위Skill (SKILL.md 폴더)Skill (SKILL.md 폴더) — 같은 오픈 스탠다드
패키징 / 배포Agent Plugin (스킬, MCP, 설정 번들)Plugin 마켓플레이스 + 스킬 설치
발견 범위4계층 카탈로그 (로컬 → 개인 → 워크스페이스 → 리모트)프로젝트 + 사용자 + 마켓플레이스
샌드박스 내 자동 승인--approve-for-me + approval_policy~/.claude/settings.json의 권한
샌드박스 시행Bubblewrap (Linux) / macOS 샌드박스자격증명 마스킹이 있는 샌드박스
장기 실행 MCP 서버비차단 시작 (MCP 2026-07-28)옵트인하지 않으면 차단 시작
"리포 안의 명령".codex/plugins/, AGENTS.md.claude/, CLAUDE.md

단일 최대 실용적 차이: 인리포 .codex/plugins/ 가림이 있는 Codex의 4계층 카탈로그는 Claude Code의 기본값보다 더 공격적입니다. 이는 기능입니다 — 리포가 플러그인 버전을 고정하고 모두가 실행함을 확신할 수 있음 — 하지만 "내 플러그인을 업그레이드했는데 아무것도 바뀌지 않았어"는 종종 "당신의 리포가 오래된 사본을 고정했어"입니다.

이미 Codex를 쓰는 팀을 위한 마이그레이션 체크리스트​

Guided walkthrough1 of 6
  1. 이는 `codex --version` 점프 후 녹색 CI가 빨간색이 되는 가장 흔한 원인.

Codex 플러그인이 Claude subagent를 이길 때 — 그리고 이기지 못할 때​

Codex 플러그인은 재사용 단위가 워크플로 패키지일 때 가장 강합니다 — 리뷰 플로우, 배포 시퀀스, Terraform-drift 스윕 — 팀 전체에 하나의 아티팩트로 배송하고 뒤에 버전 관리와 마켓플레이스가 있는 것. 4계층 카탈로그는 "플랫폼 팀이 배송하는 리뷰어 플러그인, 내 리포가 오버라이드하지 않는 한"이 필요한 조직에서 진정으로 유용합니다.

Claude Code의 subagent+skill 모델은 재사용 단위가 단일 대화형 세션 안에서 자유롭게 조합되는 역할("code-reviewer", "debugger")일 때 더 강하며, 같은 파일이 재패키징 없이 ChatGPT, Cursor, Gemini CLI, Codex에서 실행되기를 원할 때 더 강합니다. Skills는 더 이식 가능한 프리미티브로 남습니다; 플러그인은 더 강력한 배포 계층입니다.

2026년 8월 대부분의 팀에 실용적인 답은 둘 다입니다: 에이전트 간 이동을 위해 파일 수준 프리미티브로 스킬을 유지하고, 마켓플레이스, 카탈로그 페더레이션, 고정이 필요할 때 Codex Agent Plugin으로 감싸세요.

Check yourself

0/4
  1. 두 카탈로그가 `terraform-drift`라는 플러그인을 담고 있습니다: 하나는 리포의 `.codex/plugins/`에 커밋되고, 하나는 `marketplace.openai.com`에 있습니다. Codex는 어느 것을 사용합니까?
  2. `codex exec --approve-for-me --sandbox workspace-write "install curl and hit a random URL"`를 실행합니다. 승인 정책은 `api.github.com`만 허용합니다. 무슨 일이 일어납니까?
  3. CI Makefile이 여전히 `codex exec --full-auto "run tests"`를 호출합니다. v0.147.0으로 업그레이드 후 작업이 실패합니다. 예전 의도를 유지하는 최소한의 수정은?
  4. 'Codex가 한 MCP 서버가 워밍업이 느려서 시작에 4초 걸림'을 가장 직접적으로 고치는 MCP 2026-07-28 기능은?

출처 및 추가 자료​