Codex Security

项目简介

Codex Security 是 OpenAI 的安全工具，用于扫描应用代码、调查发现并审查修复。它会报告证据以支持漏洞调查和修复，可通过 Codex 工作流使用，也可通过 CLI 和 TypeScript SDK 自动化。

核心功能

• 可扫描仓库、选定路径或 Git 变更；深度扫描会重复标准扫描并返回去重后的发现。可验证候选发现、生成补丁并验证现有修复。可起草 SECURITY.md 策略并保存威胁模型供后续审查。可浏览已保存的扫描和发现、识别重复项、按自定义评分标准评估严重性，并根据源代码和 Git 历史建议负责人。可导入第三方扫描器发现，并支持导出为 SARIF、JSON 和 CSV，以及在 Linear、Jira 或 GitHub 中跟踪。可自动化跨仓库或项目组件的扫描，包括在 CI 和容器中运行。

适用场景

• 在 Codex 中交互式扫描本地仓库并逐项处理发现。在终端运行可重复扫描，或为 CI 增加安全检查。使用 TypeScript SDK 在应用或开发者工具中运行扫描并处理结果。使用 Codex Security Cloud 扫描已连接的 GitHub 仓库或监控新提交。

快速开始

• 首次本地扫描可使用 ChatGPT 桌面应用或 Codex CLI 中的 Codex Security 插件，在 ChatGPT 桌面应用中选择 Codex，安装 Codex Security，然后打开侧边栏中的 Security。也可全局安装 CLI：npm install --global @openai/codex-security，运行 cs login 登录，然后在仓库目录运行 cs scan .。扫描完成后，打开终端中 REPORT 路径指向的 Markdown 报告。

部署与要求

• CLI 需要 Node.js 22.13.0+（22.x 内），或 Node.js 24.x 或 26.x，以及 Python 3.10+；Python 3.10 还需要 tomli。使用 OpenAI 推理的扫描需要 Codex Security 访问权限；CI 扫描需在扫描进程环境中设置 OPENAI_API_KEY 或 CODEX_API_KEY。Codex Security Cloud 需要工作区访问权限、GitHub 连接和兼容的 Codex 云环境。

采用前须知

• 许可证：Apache-2.0。在使用、修改或分发项目前，请确认其具体条款。