OpenAI、Codexのエージェント負荷で既存基盤が限界に　新Gitバックエンド「Pando」を構築

OpenAIは、Codexを活用した開発によって社内モノレポを支えるシステムの処理能力が限界に達したことを受け、新たなGitバックエンド「Pando」を構築しました。OpenAIのエンジニアリングブログが2026年11月2日に公開した記事によると、現在はすべてのモノレポ開発がPando上で動いています。プッシュ遅延の中央値は5分の1近くに短縮され、1日あたりほぼ1ペタバイトのGitデータを配信しています。

Codexを使うと、エンジニアは並行して処理できる作業量を大幅に増やせます。その結果、開発環境や研究ジョブ、CIから発生するブランチ作成、プッシュ、マージ、フェッチ、クローンも増加します。OpenAIによると、モノレポを支えるシステムは昨年末ごろから負荷に耐えられなくなり始めました。フェッチやプッシュは遅くなり、マージの信頼性は一時的に90%を下回ったといいます。

OpenAIは、限界の原因はGit自体ではなく、モノレポの提供方法にあると判断しました。そのため、Gitのプロトコルとクライアントは維持しています。こうした負荷の高まりは、開発現場のセキュリティにも影響を与えています。エージェント駆動のワークフローでは、すでにAIコーディングエージェントに影響するGitSpawn脆弱性クラスなどの欠陥が明らかになっています。

Securitysoftware

Pandoの仕組み

OpenAIは、一般的なスケーリング手法である3フェーズコミットによるレプリケーションと、BLOBストレージ上の先行書き込みログ（WAL）の2つを検討しました。ただし、どちらも無関係なブランチへのプッシュまで単一の調整ポイントで競合させてしまいます。

Pandoは、これとは異なるアプローチを採っています。

• ブランチ単位の更新：プッシュされた各packfileをイミュータブルなBLOBとして保存し、メタデータストアに「ref version」を記録します。クライアント同士が競合するのは、同じrefにプッシュした場合だけです。
• 因果整合性：Pandoは、リポジトリ全体の特定時点のスナップショットを提供しません。複数のブランチを参照する読み取り側には、ブランチごとに異なるバージョンが見える場合があります。
• packfileの再利用：サーバーはクライアントごとに固有のpackを生成せず、保存済みのpackを配信します。packfileのURIを返し、「Express」と呼ばれるキャッシュサービスがファイルを配信します。
• refアドバタイズメントの制限：Pandoは既定で、フィーチャーブランチへのプッシュ時に指定されたトランクブランチだけをアドバタイズします。ブランチが数百万本あると、アドバタイズメントが100 MiBを超えることがあるため、これでサイズを抑えています。モノレポにおけるpackサイズの中央値は20 KiB未満でした。
• コンパクション：バックグラウンドのワーカーが小さな「L0」packをより大きなカバーにマージします。現在はL4までです。これにより、Pandoは対数時間でpackを選択できます。

OpenAIによると、Pandoは1時間で57 TB超のGit packを配信しました。そのデータの99%以上はローカルディスクキャッシュから提供されています。Expressのキャッシュヒット率は99%を超え、クローンとフェッチは標準的なクラウド仮想マシンの10 Gbpsリンクを使い切りました。切り替え後、マージ後の信頼性は99.99%に達し、プッシュ遅延の中央値は80%近く減少しました。

OpenAIは、Codexの支援によって、Pandoを構想から本番稼働までわずか10週間で開発したと説明しています。コアシステムは1人のエンジニアが設計し、実装はエージェントのチームが担いました。その結果、4月には本番トラフィックの処理を開始できました。Rustのコードベースは、適合性テストスイートと決定論的シミュレーションテストで検証しています。エージェントはLeanとTLA+の仕様も作成し、バグの発見に役立てました。

OpenAIは、Pandoを旧システムに対するリード／ライトスルーのプロキシとして運用しました。これにより、ダウンタイムなしでトラフィックを円滑に移行しています。Codexは、開発者が自分の環境を移行する作業も支援しました。

エージェント規模のインフラは、ソース管理周辺の攻撃対象領域を広げます。研究者はすでに、Gitフックを悪用してAIエージェントの操作をコード実行につなげる手口を実証しています。

Aokigaharaなどの情報窃取型マルウェア（インフォスティーラー）も、Gitの認証情報ファイルやSSH鍵を含む、CodexなどのAIコーディングツールの認証情報を狙っています。

OpenAIは、Pandoに自社のセキュアなソフトウェア基盤の原則を適用したと述べています。また、GitとPandoに対するレッドチーム演習のため、エージェントを24時間体制で稼働させています。Pandoは標準のGitクライアントを維持しているため、署名付きコミットやブランチ保護といった既存の対策もそのまま機能します。

OpenAIは、アップストリームのGitにも修正を提供したと述べています。内容は、packの同時ダウンロード、転送中断後のクリーンアップ、ダウンロードの再開に関するものです。さらに、packfile-uriダウンロードのトレース機能と、クライアントがトランクのみのpackに対して–force-with-leaseを使えるようにする「explicit haves」という概念も追加しました。変更の一部はすでにアップストリームに取り込まれており、残りはOpenAIの公開Gitフォークで公開されています。

OpenAIは、多数のエージェントが1つの共有リポジトリで協働するワークロードなど、Pandoの他の用途も検討しています。この技術をユーザーと共有する方法も探っています。

SOCにアラートの文脈を提供し、インシデントを迅速に食い止めましょう。1万6,000のSOCの脅威インテリジェンスを統合。