@mawaru/sdk 0.28.0 → 0.30.0

package/_schemas/ai-manifest.test.ts

@@ -1,5 +1,10 @@
 import { describe, expect, it } from "vitest"
-import { AI_MODELS, aiManifestSchema } from "./ai-manifest.js"
+import {
+  AI_MODEL_GROUPS,
+  AI_MODELS,
+  agentOfModel,
+  aiManifestSchema,
+} from "./ai-manifest.js"
 import { instructionSchema } from "./port-spec.js"
 
 const textOutput = { type: "string" }
@@ -16,6 +21,21 @@ const valid = {
 }
 
 describe("aiManifestSchema", () => {
+  it("認証方式を保持し、不明な方式は拒否する", () => {
+    for (const auth_mode of ["subscription", "api"]) {
+      expect(
+        aiManifestSchema.parse({ ...valid, model: "gpt-6-astra", auth_mode })
+          .auth_mode,
+      ).toBe(auth_mode)
+    }
+    expect(() =>
+      aiManifestSchema.parse({ ...valid, auth_mode: "auto" }),
+    ).toThrow()
+    // 旧定義を編集できるよう読み込みは許可する。実行には明示選択が必要。
+    expect(
+      aiManifestSchema.parse({ ...valid, model: "gpt-6-astra" }).auth_mode,
+    ).toBeUndefined()
+  })
   it("フル指定の manifest を受け付ける", () => {
     const manifest = aiManifestSchema.parse(valid)
     expect(manifest.name).toBe("返信下書き")
@@ -56,6 +76,25 @@ describe("aiManifestSchema", () => {
     ).toThrow()
   })
 
+  it("Codex のモデルも選べる（実行主体は model の接頭辞で決まる）", () => {
+    expect(
+      aiManifestSchema.parse({ ...valid, model: "gpt-6-astra" }).model,
+    ).toBe("gpt-6-astra")
+    for (const model of AI_MODEL_GROUPS.claude.models) {
+      expect(agentOfModel(model)).toBe("claude")
+    }
+    for (const model of AI_MODEL_GROUPS.codex.models) {
+      expect(agentOfModel(model)).toBe("codex")
+    }
+    // 各グループの既定はそのグループの選択肢に含まれる
+    expect(AI_MODEL_GROUPS.claude.models).toContain(
+      AI_MODEL_GROUPS.claude.default,
+    )
+    expect(AI_MODEL_GROUPS.codex.models).toContain(
+      AI_MODEL_GROUPS.codex.default,
+    )
+  })
+
   it("inputs は key 自由・1件以上（in / instruction の固定構成は廃止）", () => {
     // 0件は拒否
     expect(() => aiManifestSchema.parse({ ...valid, inputs: {} })).toThrow()

package/_schemas/ai-manifest.ts

@@ -1,20 +1,54 @@
 import { z } from "zod"
 import { jsonSchemaSchema, PORT_KEY_PATTERN } from "./node.js"
 
-// AI ノードのモデル選択肢（既定は Opus：下書き品質が価値の中心。費用はユーザー持ち）。
-// エイリアス（"opus" 等）は採らずバージョンを固定する：実行のたびに黙って別モデルへ
-// 乗り換わると品質も費用も再現しないため。新モデルが出たらこの配列を足して SDK を publish する
+// AI ノードの実行主体（エージェント CLI）は Claude Code と Codex の2つ。Claude Code は Claude の
+// モデルだけ、Codex は OpenAI のモデルだけを走らせるので、モデル ID と実行主体は 1:1。
+// config.json に agent のようなフィールドは持たず、model の接頭辞（claude-* / gpt-*）で決まる
+// （runner の _agents/index.ts と同じ規則。AI実行エージェントの抽象化（Claude CodeとCodex）.md）。
+//
+// モデルはエイリアス（"opus" 等）を採らずバージョンを固定する：実行のたびに黙って別モデルへ
+// 乗り換わると品質も費用も再現しないため。新モデルが出たらこの配列を足して SDK を publish する。
+// 既定は Opus：下書き品質が価値の中心。費用はユーザー持ち
+export const AI_MODEL_GROUPS = {
+  claude: {
+    name: "Claude Code",
+    models: [
+      "claude-fable-5-1",
+      "claude-fable-5",
+      "claude-opus-5",
+      "claude-opus-4-8",
+      "claude-sonnet-5",
+      "claude-haiku-4-5",
+    ],
+    default: "claude-opus-5",
+  },
+  codex: {
+    name: "Codex",
+    models: [
+      "gpt-6-astra",
+      "gpt-5.6-sol",
+      "gpt-5.6-terra",
+      "gpt-5.6-luna",
+      "gpt-5.5",
+    ],
+    default: "gpt-6-astra",
+  },
+} as const
+export const AI_AGENT_IDS = ["claude", "codex"] as const
+export const aiAgentIdSchema = z.enum(AI_AGENT_IDS)
+export type AiAgentId = z.infer<typeof aiAgentIdSchema>
+
 export const AI_MODELS = [
-  "claude-fable-5-1",
-  "claude-fable-5",
-  "claude-opus-5",
-  "claude-opus-4-8",
-  "claude-sonnet-5",
-  "claude-haiku-4-5",
+  ...AI_MODEL_GROUPS.claude.models,
+  ...AI_MODEL_GROUPS.codex.models,
 ] as const
 export const aiModelSchema = z.enum(AI_MODELS)
 export type AiModel = z.infer<typeof aiModelSchema>
-export const DEFAULT_AI_MODEL = "claude-opus-5" satisfies AiModel
+export const DEFAULT_AI_MODEL = AI_MODEL_GROUPS.claude.default satisfies AiModel
+
+// モデル ID → 実行主体
+export const agentOfModel = (model: AiModel): AiAgentId =>
+  model.startsWith("claude-") ? "claude" : "codex"
 
 // 入力口の宣言：スキーマ＋実行属性。resume: true の口から入力が届いた実行は
 // 同じノードの直近セッションを復元して再開する（backend が ports.resume へ同期して
@@ -45,6 +79,8 @@ export const aiManifestSchema = z
     // repo に置く時点で完成品なので必須（DB 時代の「書きかけ空文字」は廃止）
     prompt: z.string().min(1),
     model: aiModelSchema.default(DEFAULT_AI_MODEL),
+    // 旧定義も編集のため読める。Codex の実行・保存時には明示選択を必須にする
+    auth_mode: z.enum(["subscription", "api"]).optional(),
     // 同 repo のトップレベル skills/ 配下のディレクトリ名
     skills: z
       .array(

package/dist/_cli/resumeSession.d.ts

@@ -13,10 +13,16 @@ export declare const workspaceRepoName: (cwds: string[]) => string | null;
 export declare const findProjectDir: (cwd: string) => string | null;
 export type TranscriptRef = {
     url: string;
+    agent: "claude" | "codex";
     session_id: string;
+    local_path: string;
     redacted?: number;
 };
 export declare const fetchTranscriptRef: (credentials: Credentials, ref: StepRef) => Promise<TranscriptRef>;
 export declare const downloadTranscript: (url: string) => Promise<string>;
-export declare const placeTranscript: (cwd: string, sessionId: string, transcript: string) => string;
-export declare const spawnClaudeResume: (sessionId: string) => Promise<number>;
+export declare const placeTranscript: (cwd: string, ref: Pick<TranscriptRef, "agent" | "session_id" | "local_path">, transcript: string) => string;
+export declare const resumeCommand: (agent: TranscriptRef["agent"], sessionId: string) => {
+    bin: string;
+    args: string[];
+};
+export declare const spawnResume: (agent: TranscriptRef["agent"], sessionId: string) => Promise<number>;

package/dist/_cli/resumeSession.js

@@ -1,7 +1,7 @@
 import { spawn } from "node:child_process";
 import { existsSync, mkdirSync, readdirSync, readFileSync, writeFileSync, } from "node:fs";
 import { homedir } from "node:os";
-import { join } from "node:path";
+import { dirname, join } from "node:path";
 import { accessTokenFrom } from "./credentials.js";
 // UI がコピーさせる web の URL から tenant / run / step を取り出す。
 // 3つを1つの貼れる文字列で運ぶために URL の形にしている
@@ -28,6 +28,7 @@ export const parseStepUrl = (raw) => {
     return { tenantId, runId, stepId };
 };
 // transcript に記録された作業ディレクトリ（重複は畳み、最後に居た場所も返す）。
+// Claude Code は各行のトップレベル `cwd`、Codex は先頭行 session_meta の `payload.cwd`。
 // **現在地がそこと違っていても resume 自体は通ってしまう**ので、人間に見せて確認を取る
 export const recordedCwds = (transcript) => {
     const all = [];
@@ -37,7 +38,8 @@ export const recordedCwds = (transcript) => {
             continue;
         let cwd;
         try {
-            cwd = JSON.parse(line).cwd;
+            const parsed = JSON.parse(line);
+            cwd = parsed.cwd ?? parsed.payload?.cwd;
         }
         catch {
             continue;
@@ -64,6 +66,8 @@ export const workspaceRepoName = (cwds) => {
     return null;
 };
 const projectsRoot = () => join(process.env.CLAUDE_CONFIG_DIR ?? join(homedir(), ".claude"), "projects");
+// Codex の設定ルート（CLI 自身が CODEX_HOME を見るのでそれに合わせる）
+const codexHome = () => process.env.CODEX_HOME ?? join(homedir(), ".codex");
 // 置き先のディレクトリを **規則を再実装せず観測で決める**（agent-runner の
 // _helpers/session.ts と同じ方針）。~/.claude/projects/*/*.jsonl の cwd を読み、
 // いま居るディレクトリと一致するものを選ぶ
@@ -113,25 +117,38 @@ export const downloadTranscript = async (url) => {
     }
     return await res.text();
 };
-// 置き先へ書き込む。ディレクトリが見つからないのは「この repo でまだ claude を
-// 起動していない」ケースなので、観測できるようにしてから再実行してもらう
-export const placeTranscript = (cwd, sessionId, transcript) => {
-    const dir = findProjectDir(cwd);
-    if (!dir) {
-        throw new Error("このディレクトリの Claude Code プロジェクトが見つかりません。" +
-            "ここで一度 `claude` を起動してから、もう一度実行してください。");
+// 置き先へ書き込む。
+// Claude Code は cwd から導出したディレクトリしか見ないので、現在地に対応する project dir を
+// 観測で引き当てて置く。見つからないのは「この repo でまだ claude を起動していない」ケースなので、
+// 観測できるようにしてから再実行してもらう。
+// Codex は cwd に依らず sessions/ 配下を id で探すので、退避時の相対パスにそのまま置く
+export const placeTranscript = (cwd, ref, transcript) => {
+    let file;
+    if (ref.agent === "codex") {
+        file = join(codexHome(), ref.local_path);
     }
-    mkdirSync(dir, { recursive: true });
-    const file = join(dir, `${sessionId}.jsonl`);
+    else {
+        const dir = findProjectDir(cwd);
+        if (!dir) {
+            throw new Error("このディレクトリの Claude Code プロジェクトが見つかりません。" +
+                "ここで一度 `claude` を起動してから、もう一度実行してください。");
+        }
+        file = join(dir, `${ref.session_id}.jsonl`);
+    }
+    mkdirSync(dirname(file), { recursive: true });
     writeFileSync(file, transcript);
     return file;
 };
-// stdio を引き継いで claude を起動する（そのまま対話に入る）
-export const spawnClaudeResume = (sessionId) => new Promise((resolve) => {
-    const child = spawn("claude", ["--resume", sessionId], { stdio: "inherit" });
+// エージェントごとの対話 resume コマンド
+export const resumeCommand = (agent, sessionId) => agent === "codex"
+    ? { bin: "codex", args: ["resume", sessionId] }
+    : { bin: "claude", args: ["--resume", sessionId] };
+// stdio を引き継いで CLI を起動する（そのまま対話に入る）
+export const spawnResume = (agent, sessionId) => new Promise((resolve) => {
+    const { bin, args } = resumeCommand(agent, sessionId);
+    const child = spawn(bin, args, { stdio: "inherit" });
     child.on("error", () => {
-        console.error("claude を起動できませんでした。Claude Code をインストールしてから `claude --resume " +
-            `${sessionId}\` を実行してください。`);
+        console.error(`${bin} を起動できませんでした。インストールしてから \`${bin} ${args.join(" ")}\` を実行してください。`);
         resolve(1);
     });
     child.on("close", (code) => resolve(code ?? 0));

package/dist/_cli/sessionCommand.js

@@ -1,7 +1,7 @@
 import { homedir } from "node:os";
 import { dirname } from "node:path";
 import { requireCredentials } from "./credentials.js";
-import { downloadTranscript, fetchTranscriptRef, parseStepUrl, placeTranscript, recordedCwds, spawnClaudeResume, workspaceRepoName, } from "./resumeSession.js";
+import { downloadTranscript, fetchTranscriptRef, parseStepUrl, placeTranscript, recordedCwds, spawnResume, workspaceRepoName, } from "./resumeSession.js";
 // ホーム配下は ~ に畳む（置き先は必ずホーム配下なので実質いつも効く）
 const tilde = (path) => {
     const home = homedir();
@@ -9,8 +9,9 @@ const tilde = (path) => {
 };
 // `mawaru session resume <step URL>`
 //
-// **確認は取らない。** 書くのは ~/.claude/projects/<現在地>/<sessionId>.jsonl の新規1ファイルだけで
-// repo には触れないので、場所を間違えても別プロジェクトの履歴に混ざるだけ＝やり直せる。
+// **確認は取らない。** 書くのはエージェントの設定ディレクトリ（~/.claude/projects/<現在地>/ か
+// ~/.codex/sessions/<日付>/）への新規1ファイルだけで repo には触れないので、場所を間違えても
+// 別プロジェクトの履歴に混ざるだけ＝やり直せる。
 // **どこに cd すべきかは mawaru には分からない**（AI ノードの実行 repo と、エージェントが実際に
 // 触った repo は別物で、後者は setup.sh が workspace/ 配下に clone した対象 repo）ので推定して
 // 移動もしない。手がかりとして対象 repo 名だけ見せ、現在地と食い違うときに警告する
@@ -25,7 +26,7 @@ export const runSessionResume = async (stepUrl) => {
     const credentials = requireCredentials();
     const transcriptRef = await fetchTranscriptRef(credentials, ref);
     const transcript = await downloadTranscript(transcriptRef.url);
-    console.log(`取得: セッション ${transcriptRef.session_id.slice(0, 8)}`);
+    console.log(`取得: セッション ${transcriptRef.session_id.slice(0, 8)}（${transcriptRef.agent}）`);
     if (transcriptRef.redacted) {
         console.log(`（退避時に secret を ${transcriptRef.redacted} 箇所マスクしています）`);
     }
@@ -37,7 +38,7 @@ export const runSessionResume = async (stepUrl) => {
             console.log(`⚠ 現在地に ${repo} が含まれません。別 repo で再開しようとしているかもしれません（このまま続けます）`);
         }
     }
-    const file = placeTranscript(cwd, transcriptRef.session_id, transcript);
+    const file = placeTranscript(cwd, transcriptRef, transcript);
     console.log(`復元先: ${tilde(dirname(file))}\n再開します…`);
-    return await spawnClaudeResume(transcriptRef.session_id);
+    return await spawnResume(transcriptRef.agent, transcriptRef.session_id);
 };

package/dist/_schemas/ai-manifest.d.ts

@@ -1,5 +1,23 @@
 import { z } from "zod";
-export declare const AI_MODELS: readonly ["claude-fable-5-1", "claude-fable-5", "claude-opus-5", "claude-opus-4-8", "claude-sonnet-5", "claude-haiku-4-5"];
+export declare const AI_MODEL_GROUPS: {
+    readonly claude: {
+        readonly name: "Claude Code";
+        readonly models: readonly ["claude-fable-5-1", "claude-fable-5", "claude-opus-5", "claude-opus-4-8", "claude-sonnet-5", "claude-haiku-4-5"];
+        readonly default: "claude-opus-5";
+    };
+    readonly codex: {
+        readonly name: "Codex";
+        readonly models: readonly ["gpt-6-astra", "gpt-5.6-sol", "gpt-5.6-terra", "gpt-5.6-luna", "gpt-5.5"];
+        readonly default: "gpt-6-astra";
+    };
+};
+export declare const AI_AGENT_IDS: readonly ["claude", "codex"];
+export declare const aiAgentIdSchema: z.ZodEnum<{
+    claude: "claude";
+    codex: "codex";
+}>;
+export type AiAgentId = z.infer<typeof aiAgentIdSchema>;
+export declare const AI_MODELS: readonly ["claude-fable-5-1", "claude-fable-5", "claude-opus-5", "claude-opus-4-8", "claude-sonnet-5", "claude-haiku-4-5", "gpt-6-astra", "gpt-5.6-sol", "gpt-5.6-terra", "gpt-5.6-luna", "gpt-5.5"];
 export declare const aiModelSchema: z.ZodEnum<{
     "claude-fable-5-1": "claude-fable-5-1";
     "claude-fable-5": "claude-fable-5";
@@ -7,9 +25,15 @@ export declare const aiModelSchema: z.ZodEnum<{
     "claude-opus-4-8": "claude-opus-4-8";
     "claude-sonnet-5": "claude-sonnet-5";
     "claude-haiku-4-5": "claude-haiku-4-5";
+    "gpt-6-astra": "gpt-6-astra";
+    "gpt-5.6-sol": "gpt-5.6-sol";
+    "gpt-5.6-terra": "gpt-5.6-terra";
+    "gpt-5.6-luna": "gpt-5.6-luna";
+    "gpt-5.5": "gpt-5.5";
 }>;
 export type AiModel = z.infer<typeof aiModelSchema>;
-export declare const DEFAULT_AI_MODEL = "claude-opus-5";
+export declare const DEFAULT_AI_MODEL: "claude-opus-5";
+export declare const agentOfModel: (model: AiModel) => AiAgentId;
 export declare const aiInputDeclSchema: z.ZodObject<{
     schema: z.ZodRecord<z.ZodString, z.ZodUnknown>;
     resume: z.ZodOptional<z.ZodBoolean>;
@@ -26,6 +50,15 @@ export declare const aiManifestSchema: z.ZodObject<{
         "claude-opus-4-8": "claude-opus-4-8";
         "claude-sonnet-5": "claude-sonnet-5";
         "claude-haiku-4-5": "claude-haiku-4-5";
+        "gpt-6-astra": "gpt-6-astra";
+        "gpt-5.6-sol": "gpt-5.6-sol";
+        "gpt-5.6-terra": "gpt-5.6-terra";
+        "gpt-5.6-luna": "gpt-5.6-luna";
+        "gpt-5.5": "gpt-5.5";
+    }>>;
+    auth_mode: z.ZodOptional<z.ZodEnum<{
+        subscription: "subscription";
+        api: "api";
     }>>;
     skills: z.ZodDefault<z.ZodArray<z.ZodString>>;
     env: z.ZodDefault<z.ZodArray<z.ZodString>>;

package/dist/_schemas/ai-manifest.js

@@ -1,18 +1,48 @@
 import { z } from "zod";
 import { jsonSchemaSchema, PORT_KEY_PATTERN } from "./node.js";
-// AI ノードのモデル選択肢（既定は Opus：下書き品質が価値の中心。費用はユーザー持ち）。
-// エイリアス（"opus" 等）は採らずバージョンを固定する：実行のたびに黙って別モデルへ
-// 乗り換わると品質も費用も再現しないため。新モデルが出たらこの配列を足して SDK を publish する
+// AI ノードの実行主体（エージェント CLI）は Claude Code と Codex の2つ。Claude Code は Claude の
+// モデルだけ、Codex は OpenAI のモデルだけを走らせるので、モデル ID と実行主体は 1:1。
+// config.json に agent のようなフィールドは持たず、model の接頭辞（claude-* / gpt-*）で決まる
+// （runner の _agents/index.ts と同じ規則。AI実行エージェントの抽象化（Claude CodeとCodex）.md）。
+//
+// モデルはエイリアス（"opus" 等）を採らずバージョンを固定する：実行のたびに黙って別モデルへ
+// 乗り換わると品質も費用も再現しないため。新モデルが出たらこの配列を足して SDK を publish する。
+// 既定は Opus：下書き品質が価値の中心。費用はユーザー持ち
+export const AI_MODEL_GROUPS = {
+    claude: {
+        name: "Claude Code",
+        models: [
+            "claude-fable-5-1",
+            "claude-fable-5",
+            "claude-opus-5",
+            "claude-opus-4-8",
+            "claude-sonnet-5",
+            "claude-haiku-4-5",
+        ],
+        default: "claude-opus-5",
+    },
+    codex: {
+        name: "Codex",
+        models: [
+            "gpt-6-astra",
+            "gpt-5.6-sol",
+            "gpt-5.6-terra",
+            "gpt-5.6-luna",
+            "gpt-5.5",
+        ],
+        default: "gpt-6-astra",
+    },
+};
+export const AI_AGENT_IDS = ["claude", "codex"];
+export const aiAgentIdSchema = z.enum(AI_AGENT_IDS);
 export const AI_MODELS = [
-    "claude-fable-5-1",
-    "claude-fable-5",
-    "claude-opus-5",
-    "claude-opus-4-8",
-    "claude-sonnet-5",
-    "claude-haiku-4-5",
+    ...AI_MODEL_GROUPS.claude.models,
+    ...AI_MODEL_GROUPS.codex.models,
 ];
 export const aiModelSchema = z.enum(AI_MODELS);
-export const DEFAULT_AI_MODEL = "claude-opus-5";
+export const DEFAULT_AI_MODEL = AI_MODEL_GROUPS.claude.default;
+// モデル ID → 実行主体
+export const agentOfModel = (model) => model.startsWith("claude-") ? "claude" : "codex";
 // 入力口の宣言：スキーマ＋実行属性。resume: true の口から入力が届いた実行は
 // 同じノードの直近セッションを復元して再開する（backend が ports.resume へ同期して
 // payload 発行時に参照する。ポート型固定の撤去とセッション再開のポート属性化.md）
@@ -39,6 +69,8 @@ export const aiManifestSchema = z
     // repo に置く時点で完成品なので必須（DB 時代の「書きかけ空文字」は廃止）
     prompt: z.string().min(1),
     model: aiModelSchema.default(DEFAULT_AI_MODEL),
+    // 旧定義も編集のため読める。Codex の実行・保存時には明示選択を必須にする
+    auth_mode: z.enum(["subscription", "api"]).optional(),
     // 同 repo のトップレベル skills/ 配下のディレクトリ名
     skills: z
         .array(z

package/dist/cli.js

@@ -16,7 +16,7 @@ const USAGE = `使い方: mawaru <command> [引数]
   login      ブラウザで承認して mawaru にログインする（~/.mawaru/credentials.json）
   logout     保存した資格情報を消す
   session resume <step URL>
-             AI ノードのセッションを手元に復元して claude --resume で再開する`;
+             AI ノードのセッションを手元に復元して CLI（claude / codex）の resume で再開する`;
 const [command, ...rest] = process.argv.slice(2);
 // init / typegen / validate は repo ルートを任意で受ける（省略時はカレント）
 const root = rest[0] ?? process.cwd();

package/docs/development.md

@@ -46,12 +46,16 @@ skills/<dir>/      # AI ノードが参照する skill（SKILL.md）
 
 - `config.json` — 正は `_schemas/ai-manifest.ts`。`prompt`（必須）・`model`・
   `skills`（トップレベル `skills/` 配下のディレクトリ名）・`env`・`inputs` / `outputs`
+- `model` が実行主体を決める：`claude-*` は Claude Code、`gpt-*` は Codex で走る
+  （選択肢は `AI_MODEL_GROUPS`）。認証は repo の Actions secrets に置く：Claude Code は
+  `ANTHROPIC_API_KEY`（または `CLAUDE_CODE_OAUTH_TOKEN`）、Codex は明示的な `auth_mode` と対応する認証情報（下記「Codex の認証方式」参照）
+  （`env` に宣言しなくても渡される）
 - `inputs` は1件以上・key 自由。値は `{ "schema": <JSON Schema>, "resume": true }` の形
   （`resume` は省略可。true の口から入力が届いた実行は、同じノードの直近セッションを
   復元して再開する——差し戻し→修正の続き実行に使う）。旧形式（値が素の JSON Schema）も
   読める
-- 実行時はラッパーが Claude Code（headless）を起動し、`outputs` のスキーマに適合する
-  output を検証して報告する。出口が複数あれば AI が1つ選ぶ（複数出口＝分岐）
+- 実行時はラッパーがエージェント CLI（Claude Code / Codex、非対話）を起動し、`outputs` の
+  スキーマに適合する output を検証して報告する。出口が複数あれば AI が1つ選ぶ（複数出口＝分岐）
 - **文体の既定は「短く」**：出力の文章は承認画面・Slack・顧客への回答としてそのまま人が読むため、
   ラッパーが枠組みプロンプトで「結論から・前置きや言い換えや締め文句を書かない・1文は短く」を
   常に指示している。長い文章（詳細なレポート等）が要るノードだけ `prompt` に長さ・文体を明示する
@@ -72,3 +76,55 @@ skills/<dir>/      # AI ノードが参照する skill（SKILL.md）
 
 - `npx mawaru validate` — リポジトリ規約の検証（CI 向け。error で exit 1）
 - config.json を変えたら `npx mawaru typegen` で型を更新し、ズレをコンパイルで検出する
+
+### Codex の認証方式
+
+Codex の AI 定義は `auth_mode` を必ず指定する。エディタの「認証方式」で選択できる。
+
+- `subscription`：ChatGPT の Codex 利用枠を使う。
+- `api`：OpenAI の API キーで従量課金する。
+
+既存の Codex 定義にも明示的な選択が必要。未指定・認証不足・枠切れ・認証エラーでも別方式へ切り替えない。Claude の認証設定は従来どおり。
+
+```json
+{
+  "prompt": "入力に返信してください",
+  "model": "gpt-5.6-luna",
+  "auth_mode": "subscription",
+  "inputs": { "in": { "schema": {} } },
+  "outputs": { "main": { "type": "string" } }
+}
+```
+
+API を選ぶ場合は実行 repo の Actions Secret に `OPENAI_API_KEY` または `CODEX_API_KEY` を登録する。両方ある場合は Codex 固有の `CODEX_API_KEY` を使う。
+
+#### サブスクを Actions で使う
+
+非公開の実行 repo で、更新した `mawaru-runner.yml` を `npx @mawaru/sdk init` で反映する。
+
+1. 自動実行専用の Codex ログインをファイル形式で作る。日常利用のログインキャッシュを複数の repo・マシンへ配布しない。
+2. GitHub の実行 repo に `mawaru-codex` Environment を作成する。
+3. **Environment Secret** に `CODEX_AUTH_JSON`（ログインキャッシュの内容）と `CODEX_AUTH_WRITE_TOKEN`（その repo の Environment Secrets を更新できるトークン）を登録する。標準の `GITHUB_TOKEN` には Secret 更新権限がない。Fine-grained PAT では対象 repo を限定し、Environments の書き込み権限を付ける。
+4. AI 定義で `auth_mode: "subscription"` を選ぶ。
+
+認証ファイルを表示せず登録する例（`OWNER/REPO` は実行 repo に置き換える）：
+
+```sh
+# CODEX_HOME を普段のログインと分けて、初回ログインする
+CODEX_HOME="$HOME/.mawaru-codex" codex -c 'cli_auth_credentials_store="file"' login
+# 値をコマンド引数・履歴・チャットへ貼り付けない
+gh secret set CODEX_AUTH_JSON --repo OWNER/REPO --env mawaru-codex < "$HOME/.mawaru-codex/auth.json"
+gh secret set CODEX_AUTH_WRITE_TOKEN --repo OWNER/REPO --env mawaru-codex
+```
+
+runner は認証を作業ディレクトリ外に展開し、Codex が更新した認証を実行の成否にかかわらず Environment Secret へ戻す。同じ repo の AI ジョブは直列に実行する。GitHub の待機キューは最大100件で、それを超える投入は避ける。repo Secret はキュー投入時の古い値を読むため、サブスク認証の保存先には使わない。実行中の強制キャンセル・書き戻し失敗・ログイン失効時は、新しくログインして `CODEX_AUTH_JSON` を再登録する。
+
+API 選択時はサブスク認証を読み込まず、サブスク選択時は API キーを Codex に渡さない。サブスク認証は利用枠無制限を意味しない。追加購入済みクレジットの消費は ChatGPT アカウント側の設定に従う。
+
+#### ローカルで使う
+
+`auth_mode: "subscription"` を設定したうえで、`CODEX_AUTH_FILE` に自動実行用の auth.json の絶対パスを指定して runner を実行する。更新済み認証は同じファイルへ戻すため、親ディレクトリにも書き込み権限が必要。同じファイルを使う mawaru の並行実行はエラーで止める。
+
+API 選択時は `OPENAI_API_KEY` / `CODEX_API_KEY` を runner の環境変数、または既存の `SECRETS_JSON` 経由で渡す。
+
+参考：[Codexの認証](https://learn.chatgpt.com/docs/auth)、[CIでの認証維持](https://learn.chatgpt.com/docs/auth/ci-cd-auth)、[GitHubのSecret読み込み時点](https://docs.github.com/en/actions/reference/security/secrets)、[待機キューの上限](https://docs.github.com/en/actions/how-tos/write-workflows/choose-when-workflows-run/control-workflow-concurrency)。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@mawaru/sdk",
-  "version": "0.28.0",
+  "version": "0.30.0",
   "description": "mawaru 実行 repo の開発 SDK。契約スキーマ（config.json 規約・ループ graph API）の正 ＋ typegen / validate CLI",
   "type": "module",
   "bin": {

package/skills/create-loop/SKILL.md

@@ -110,7 +110,7 @@ AI ノードの出力の文章は、承認画面・Slack・顧客への回答と
 「どこに何が置いてあるか」と、そこから先の判断だけを書く。
 
 理由：LLM にやらせるとトークンを食い flaky で、失敗が「セットアップの失敗」として明瞭に出ない。
-skill の配置は Claude Code 起動前に完了している必要もある。
+skill の配置はエージェント CLI（Claude Code / Codex）の起動前に完了している必要もある。
 
 規約（実行 repo 側。config.json への宣言は不要、ファイルの存在が正）：
 
@@ -122,7 +122,7 @@ cp -r workspace/repo/.claude/skills/some-skill skills/   # copySkills の前に
 printf '%s' "$SOME_SA_KEY" > workspace/key.json
 ```
 
-- 実行順は `env 注入 → input.json 書き出し → setup.sh → copySkills → 本体（Claude Code）`。
+- 実行順は `env 注入 → input.json 書き出し → setup.sh → copySkills → 本体（エージェント CLI）`。
   `bash nodes/ai/<dir>/setup.sh "$INPUT_JSON"`（実行ビット不要）、cwd は checkout ルート。
 - **入力は `$1`（JSON 文字列）か `input.json`** で参照できる（`jq` はランナー同梱）。
 - **環境変数は config.json の `env` 宣言分だけ**が注入される。必要な secret は `env` に宣言し、

package/templates/mawaru-runner.yml

@@ -20,6 +20,15 @@ on:
 jobs:
   run:
     runs-on: ubuntu-latest
+    # 認証の更新を次のジョブ開始時に読むため、repo Secret ではなく環境Secretを使う。
+    environment:
+      name: mawaru-codex
+      deployment: false
+    # 同じ repo の AI ジョブを直列化。通常の concurrency は待機中ジョブを置換するため max。
+    concurrency:
+      group: ${{ github.event.client_payload.agent && 'mawaru-ai-auth' || github.run_id }}
+      cancel-in-progress: false
+      queue: max
     steps:
       # 自分の Actions run の URL を mawaru に自己申告する（画面のリンク表示用）。
       # repository_dispatch は起動した run の ID を返さないため、URL を知っているのは
@@ -48,14 +57,17 @@ jobs:
 
       - name: write payload.json
         run: echo '${{ toJSON(github.event.client_payload) }}' > payload.json
-      # SECRETS_JSON は全 repo secrets を注入するが、子プロセス（handler / Claude Code）には
+      # SECRETS_JSON は全 repo secrets を注入するが、子プロセス（handler / エージェント CLI）には
       # ラッパーが config.json の env 宣言分だけを展開して渡す（最小権限）
       # 実行時間の上限はラッパーが config.json の timeout_minutes（既定：program 30分 /
       # ai 360分）で締めて理由付きの failed を報告する。ここでは縛らず、暴走の最終
       # backstop は GHA のジョブ上限（6時間）に任せる。step の停止は mawaru の run キャンセル
       - name: run
         id: run
-        env: { SECRETS_JSON: "${{ toJSON(secrets) }}" }
+        env:
+          SECRETS_JSON: "${{ toJSON(secrets) }}"
+          MAWARU_CODEX_AUTH_STORAGE: github-environment
+          MAWARU_CODEX_PRIVATE_REPO: "${{ github.event.repository.private }}"
         run: npx --yes "${{ github.event.client_payload.runner }}" payload.json
 
       # ラッパー自体が起動できなかった事故（npx 失敗等）の backstop。