Codex Security

Codex Security hilft Ihnen, Schwachstellen in Ihrem Code zu finden, zu untersuchen und zu beheben. Nutzen Sie die Sicherheits-Workflows in Codex oder automatisieren Sie sie mit der @openai/codex-security CLI und dem TypeScript SDK.

• In Codex: wählen Sie einen Sicherheits-Workflow.
• Im Terminal: installieren Sie die CLI und scannen Sie Ihr Repository.
• In der Automatisierung: nutzen Sie das TypeScript SDK oder GitHub Action.

Funktionen

• Scannen Sie Repositories, ausgewählte Pfade oder Git-Änderungen. Tiefe Scans wiederholen Standard-Scans und liefern deren deduplizierte Befunde.
• Validieren Sie Kandidatenbefunde, generieren Sie Patches und verifizieren Sie bestehende Fixes.
• Entwerfen Sie SECURITY.md-Richtlinien und speichern Sie Bedrohungsmodelle für die spätere Überprüfung.
• Durchsuchen Sie gespeicherte Scans und Befunde, identifizieren Sie Duplikate, bewerten Sie die Schwere anhand Ihrer eigenen Kriterien und schlagen Sie Verantwortliche aus Quellcode und Git-Historie vor.
• Zeigen Sie Befunde von Drittanbieter-Scannern in der Vorschau an, speichern Sie sie lokal oder veröffentlichen Sie unterstützte Berichte in Codex Security Cloud. Scanner-Import-Anleitungen.
• Verfolgen Sie Befunde in Linear, Jira oder GitHub, veröffentlichen Sie abgeschlossene Scans oder exportieren Sie SARIF, JSON und CSV. Integrations-Workflows.
• Automatisieren Sie Scans über Repositories oder Projektkomponenten hinweg, auch in CI und Containern.

Verwendung in Codex

Öffnen Sie Ihr Repository in einer Codex-Sitzung mit aktiviertem Codex Security Plugin und fragen Sie dann:

Führen Sie einen Codex Security Scan für dieses Repository durch, mit Fokus auf Authentifizierung und Autorisierung. Geben Sie den gespeicherten Bericht, die Quellcode-Nachweise und die Abdeckungsgrenzen zurück.

Ein abgeschlossener Scan speichert einen Bericht und Befunde. Lesen Sie den Bericht für Quellcode- Nachweise und Ausschlüsse und fordern Sie dann einen Patch an oder bitten Sie Codex, einen bestehenden Fix zu verifizieren. Siehe die Anleitung zu Agent-Workflows für Einrichtung, Aufgabenauswahl und Wiederherstellung.

Schnellstart

Erfordert Node.js 22.13.0+ innerhalb von 22.x oder Node.js 24.x oder 26.x sowie Python 3.10+. Python 3.10 erfordert außerdem tomli.

Installieren Sie die CLI global und melden Sie sich an:

npm install --global @openai/codex-security
cs login

Führen Sie Ihren ersten Scan aus dem Repository-Verzeichnis aus:

cs scan .

Wenn der Scan abgeschlossen ist, öffne die Markdown-Datei unter dem REPORT-Pfad im Terminal. Führe cs scans show aus demselben Repository aus, um den letzten abgeschlossenen Scan erneut zu finden. Siehe scan scope and follow-up work, um zu verstehen, wie Ausschlüsse im Bericht zu interpretieren sind.

cs und codex-security führen dieselbe CLI aus. Wenn der Kurzname mit einem anderen Befehl in Konflikt steht, verwende codex-security. Um die globale Installation zu überspringen oder wenn npm einen EEXIST-Konflikt meldet, verwende npx @openai/codex-security anstelle von cs sowohl für die Anmeldung als auch für das Scannen.

Für CI setze OPENAI_API_KEY oder CODEX_API_KEY in der Umgebung des Scan-Prozesses. Für eine Headless-Maschine siehe device or SSH login.

Scan-Optionen

Wähle einen Umfang und einen Scan-Modus:

# Scan selected paths.
cs scan . --path src --path tests

# Scan committed changes from a base revision to HEAD.
cs scan . --diff origin/main

# Run a deep scan of the repository.
cs scan . --mode deep

Verwenden Sie cs scan . --max-time 15 für ein beratendes Standard-Untersuchungszeitfenster von 15 Minuten. Siehe Untersuchungszeit für die Zeitsteuerungssemantik und Deep-Scan-Grenzen.

Verwenden Sie cs --help, um Befehle zu durchsuchen, oder cs scan --help für Scan-Optionen, Kostenlimits und Patchen nach einem Scan.

Für eine über mehrere Repositories verteilte Anwendung siehe ein System über Repositories hinweg überprüfen. Verwenden Sie Massen-Scans für unabhängige Repository-Überprüfungen in einer fortsetzbaren Kampagne.

Scans verwenden vorhandene SECURITY.md-Anleitungen auf Root- und Komponentenebene. Um sie zu schreiben oder zu überarbeiten, siehe SECURITY.md generieren.

Einige Cybersicherheitsanfragen und geschützte Befunde erfordern Trusted Access for Cyber. Für Konten mit Daybreak-Zugriff siehe Daybreak-Opt-in für den Codex-Schalter und Cyber-Zugriffsprogramme, um ein Programm explizit auszuwählen.

TypeScript SDK

Installieren Sie das Paket lokal in Ihrem TypeScript-Projekt:

npm install @openai/codex-security

Dann importiere es:

import { CodexSecurity } from "@openai/codex-security";

const security = new CodexSecurity();

try {
  const result = await security.run("/path/to/repository");
  console.log(result.reportPath);
} finally {
  await security.close();
}

Der SDK-Leitfaden enthält die Deep-Scan-Konfiguration, Validierung, Schweregradklassifizierung, Eigentümer-Vorschläge und Ergebnisverarbeitung.

Vorhandene Cloud-Findings lesen

Wenn Codex Security Cloud für Ihr Konto verfügbar ist, kann der Skill $cloud-findings des Security-Plugins Findings, Berichte, aufgezeichnete Zuweisungen und Verifizierungen sowie den Scan-Status in Codex Desktop oder der Codex CLI lesen. Cloud ist eine optionale Verbindung; lokale Scans funktionieren auch ohne sie.

Siehe Cloud-Verbindungseinrichtung und CLI-Lesevorgänge für Authentifizierungsanforderungen und ein schreibgeschütztes Beispiel.

SECURITY.md generieren

Verwenden Sie policy, um eine neue SECURITY.md zu entwerfen oder eine bestehende zu aktualisieren. Verwenden Sie --path, um eine Komponente auszuwählen:

cs policy .
cs policy . --path services/api --knowledge-base architecture.md

Der Befehl speichert seinen Entwurf außerhalb des Repositorys und lässt bestehende Dateien unverändert. Prüfen Sie den Diff und die Notizen, bearbeiten Sie den Entwurf und kopieren Sie dann nur SECURITY.md in das angezeigte Policy target. Bewahren Sie die gespeicherten Architektur- und Threat-Model- Dokumente außerhalb des Repositorys auf.

Scans verwenden bereits SECURITY.md-Dateien im Stammverzeichnis und in Komponenten. Behalten Sie Ihre aktuelle Policy bei, wenn sie keine Änderungen benötigt. Wenn Sie sie aktualisieren, bewahren Sie ihre Anweisungen zur Schwachstellenmeldung auf. Wenn der Befehl meldet, dass die Policy bereits aktuell ist, ist keine Kopie erforderlich.