openai/tunnel-client

Customer-run client for Secure MCP Tunnel: connect private or localhost MCP servers to ChatGPT, Codex, the Responses API, and AgentKit without exposing them to the public internet.

tunnel‑client とは？

tunnel-client は、OpenAIのChatGPT、Codex、その他の製品が使用するAPIである MCP (Model Context Protocol) サーバー を、安全なOpenAIホスト型のトンネル経由で実行できるようにするコマンドラインデーモンです。このトンネルにより、プライベートサーバーを パブリックインターネットに公開することなく OpenAIサービスからアクセス可能にします。

使用する理由

ローカル、VM、Kubernetesクラスター、またはその他のプライベートネットワーク上でMCPサーバーを実行している場合。
組織のセキュリティポリシーにより、インバウンドのファイアウォールポートを開くことが禁止されている場合。
他のコンポーネント（ChatGPTコネクタなど）が安全に依存できるよう、ヘルス (/healthz)、レディネス (/readyz)、メトリクス、UIを報告するプロダクショングレードのデーモンが必要な場合。

主な機能

機能	内容
セキュアトンネル	プライベートMCPサーバーを、OpenAIホスト型のトンネルエンドポイント経由でOpenAIのコントロールプレーンエンドポイント（ChatGPT、Codex、Responses API、AgentKit）に接続します。
埋め込みデモモード	クライアント内で小さなステートレスMCPスタブを実行し、迅速なテストを可能にします (`--embedded-stateless-mcp-stub`)。
Go SDK統合	クライアントをGo MCPサーバーとインプロセスでインスタンス化し、メモリ内トランスポートを使用してトンネルロジックをGoアプリケーションに直接埋め込むことができます。
可観測性	`/healthz`、`/readyz`、`/metrics`、および監視用のWeb UIを公開します。
デプロイの柔軟性	Homebrew、Docker、Kubernetes経由でのインストール、またはプレーンなバイナリとしての実行が可能です。
権限モデル	ロールベースのトンネル権限（読み取り、使用、管理）をサポートし、OpenAIランタイム/管理APIキーと連携します。
プロトコルとOpenAPI	他言語で互換性のあるクライアントを構築するための完全なワイヤプロトコル仕様 (`docs/protocol.md`) とOpenAPIコントラクト (`docs/openapi.json`) を提供します。

一般的なワークフロー

OpenAI Platform（または tunnel-client admin tunnels create）で トンネルを作成 します。
トンネルIDとランタイムAPIキーを CONTROL_PLANE_TUNNEL_ID および CONTROL_PLANE_API_KEY としてエクスポートします。

クライアントを実行し、ローカルのMCPサーバーを指定します（または埋め込みスタブを使用）。例:

export CONTROL_PLANE_API_KEY="sk-..."
export CONTROL_PLANE_TUNNEL_ID="tunnel_0123..."
tunnel-client run --embedded-stateless-mcp-stub --health.listen-addr 127.0.0.1:0

クライアントがOpenAIへの安全なトンネルを確立します。ChatGPTやCodexは、あたかもOpenAIによってホストされているかのように、プライベートなMCPエンドポイントを呼び出すことができます。

AIスタックへの適合性

Model Context Protocol (MCP) は、OpenAIのLLMベースのサービスで使用される低レベルの要求/応答形式です。
tunnel-client は、独自のMCP実装（カスタムツール、データストア、ポリシーエンジンなど）を、セキュリティ境界内に留まったままOpenAIホスト型製品に参加させるためのブリッジです。
これは エンタープライズグレード のコンポーネントです。署名済みリリース、SBOM、来歴証明、厳格な権限管理により、規制の厳しい環境にも適しています。

クイックスタートチェックリスト

インストール – brew install openai/tools/tunnel-client (またはDocker/K8sを使用)。
トンネルとキーの作成 – OpenAI Platform UIまたは tunnel-client admin … を使用。
実行 – tunnel-client help quickstart の後、tunnel-client run … を実行。
検証 – ヘルスエンドポイントを確認し、ChatGPTの設定にコネクタが表示されることを確認します。

詳細情報

パブリックガイド – https://developers.openai.com/api/docs/guides/secure-mcp-tunnels
オンボーディングドキュメント – docs/onboarding.md
アーキテクチャと権限 – docs/architecture.md, docs/permissions.md
プロトコル仕様とOpenAPI – docs/protocol.md, docs/openapi.json
例 – examples/go-sdk-inmemory (Goプロセスへの埋め込み)。

要約

tunnel-client は、プライベートMCPサーバーをOpenAIのLLMベースのサービスに安全に公開するための公式OpenAIツールです。可観測性、ロールベースのアクセス制御、複数のデプロイオプションを提供し、インバウンドのネットワークポートを開く必要はありません。