codex mcp-server запускает Codex по stdio как MCP-сервер, чтобы другой агент или хост мог делегировать ему задачу по коду. Это обратное направление по сравнению с codex mcp add, где Codex сам потребляет внешние инструменты. Различие принципиально: в одном случае Codex - клиент, тянущий чужие возможности, в другом - сервер, предоставляющий свою способность писать код чужому оркестратору. Понимать, в какой роли Codex, необходимо, потому что от этого зависит, кто кому доверяет и кто за что отвечает.

Полезно один раз развести обе схемы в таблице, потому что риски у них разные. codex mcp add делает Codex MCP-клиентом, вызывающим внешний сервер, - и риск здесь в правах внешнего инструмента и совместном использовании данных. codex mcp-server делает Codex сервером, выполняющим задачу по коду, - и риск в том, что хост может поручить ему действия, а Codex их выполнит своими руками. Это две противоположные границы доверия, и путать их - значит неверно оценить, где проходит опасность.

Запуск в роли сервера прост, но открывает делегирование. Ниже - команда codex mcp-server. После неё Codex доступен как инструмент, который внешний агент может вызвать. Простота команды не должна скрывать сути: вы отдаёте способность писать и выполнять код под управление чужого оркестратора. Это мощно для построения многоагентных систем, но и требует ясности в том, кто этот оркестратор и какие задачи он вправе делегировать Codex.

При интеграции с Agents SDK разделение ответственности становится явным. Хост создаёт MCP-процесс, вызывает предоставленный Codex-инструмент и получает результат. Но всё, что вокруг вызова, - забота внешнего оркестратора: рабочий каталог, аутентификация, sandbox, таймаут и итоговая проверка результата. Codex-сервер выполняет задачу, но не отвечает за то, в каких границах его запустили, - это ответственность хоста. Разделение чёткое: сервер делает работу, оркестратор задаёт рамки и проверяет итог.