openai/codex-securityOpenAIs Codex Security CLI und TypeScript-SDK zum Auffinden, Validieren und Beheben von Sicherheitslücken. npm: https://www.npmjs.com/package/@openai/codex-security
Codex Security hilft Ihnen, Schwachstellen in Ihrem Code zu finden, zu untersuchen und zu beheben.
Verwenden Sie die Sicherheits-Workflows in Codex oder automatisieren Sie sie mit der
@openai/codex-security CLI und dem TypeScript SDK.
SECURITY.md-Richtlinien und speichern Sie Bedrohungsmodelle für die spätere Überprüfung.Öffnen Sie Ihr Repository in einer Codex-Sitzung mit aktiviertem Codex Security Plugin, und fragen Sie dann:
Führen Sie einen Codex Security Scan für dieses Repository durch, mit Fokus auf Authentifizierung und Autorisierung. Geben Sie den gespeicherten Bericht, Quellcode-Nachweise und Abdeckungsgrenzen zurück.
Ein abgeschlossener Scan speichert einen Bericht, Befunde, Abdeckung und, falls verfügbar, ein Bedrohungsmodell. Verwenden Sie diese Ergebnisse, um Befunde zu untersuchen, einen Patch anzufordern oder einen bestehenden Fix zu überprüfen. Siehe den Agent-Workflow-Leitfaden für die Plugin- Einrichtung, Aufgabenauswahl und Wiederherstellung, wenn erforderliche Tools nicht verfügbar sind.
Erfordert Node.js 22.13.0+ innerhalb von 22.x oder Node.js 24.x oder 26.x sowie Python 3.10+.
Python 3.10 erfordert außerdem tomli.
Installieren Sie die CLI global und melden Sie sich an:
npm install --global @openai/codex-security
cs login
cs ist ein kurzer Alias für codex-security; beide Befehle führen dieselbe CLI aus.
Die Installation erstellt beide Befehle im globalen Executable-Verzeichnis von npm,
das in deinem PATH enthalten sein muss. Wenn cs bereits auf ein anderes Tool verweist, verwende
stattdessen codex-security. Wenn npm mit einem EEXIST-Fehler für cs abbricht, verwende
npx @openai/codex-security ohne globale Installation.
Führe deinen Scan aus dem Repository-Verzeichnis aus:
cs scan .
Wenn Sie Zugriff auf Daybreak Blue haben, fügen Sie --cyber-access-program daybreak_blue
zum Scan-Befehl hinzu. Andernfalls lassen Sie das Flag weg oder verwenden Sie
--cyber-access-program standard.
Um Codex' Daybreak-Schalter zu verwenden, übergeben Sie --codex daybreak=true. Er ist standardmäßig deaktiviert
und erfordert kompatiblen Zugriff. Siehe Daybreak-Konfiguration
für die SDK- und Plugin-Nutzung, einschließlich Deep-Scan-Workern.
Scans verwenden Ihre vorhandene SECURITY.md-Anleitung. Um sie zu definieren oder zu aktualisieren,
können Sie optional eine Richtlinie entwerfen:
cs policy .
Der Entwurf wird außerhalb Ihres Repositorys gespeichert. Überprüfen Sie den Diff und die Notizen, bearbeiten Sie den Entwurf und kopieren Sie dann nur SECURITY.md in das angezeigte Policy target. Sie können scannen, ohne eine Richtlinie zu generieren.
Um ohne globale Installation auszuführen, ersetzen Sie cs in diesen Beispielen durch npx @openai/codex-security, zum Beispiel:
npx @openai/codex-security scan .
Für CI setzen Sie OPENAI_API_KEY oder CODEX_API_KEY in der Umgebung des Scan-Prozesses.
Auf Remote- oder Headless-Maschinen verwenden Sie login --device-auth, falls Ihr Workspace
dies zulässt, oder melden Sie sich über SSH an.
Einige Cybersicherheits-Anfragen und geschützte Befunde erfordern eine Genehmigung für Trusted Access for Cyber.
Wählen Sie einen Umfang und einen Scan-Modus:
# Scan selected paths.
cs scan . --path src --path tests
# Scan committed changes from a base revision to HEAD.
cs scan . --diff origin/main
# Run a deep scan of the repository.
cs scan . --mode deep
Verwenden Sie cs scan . --max-time 15 für ein beratendes Standard-Untersuchungszeitfenster von 15 Minuten. Siehe Untersuchungszeit für die zeitlichen Semantiken und Deep-Scan-Grenzen.
Verwenden Sie cs --help, um Befehle zu durchsuchen, oder cs scan --help für Scan-Optionen, Kostenlimits und Patchen nach einem Scan.
Für eine über mehrere Repositories verteilte Anwendung siehe ein System über Repositories hinweg überprüfen. Verwenden Sie Massen-Scans für unabhängige Repository-Überprüfungen in einer fortsetzbaren Kampagne.
Nach einem Scan können Sie dessen Umfang und Folgearbeiten untersuchen, um aufgezeichnete Ausschlüsse zu verstehen und zu entscheiden, ob Sie die Ergebnisse überprüfen, einen fokussierten Scan ausführen oder einen unterbrochenen Lauf wiederherstellen möchten.
Installieren Sie das Paket lokal in Ihrem TypeScript-Projekt:
npm install @openai/codex-security
Dann importiere es:
import { CodexSecurity } from "@openai/codex-security";
const security = new CodexSecurity();
try {
const result = await security.run("/path/to/repository");
console.log(result.reportPath);
} finally {
await security.close();
}
Der SDK-Leitfaden enthält die Deep-Scan-Konfiguration, Validierung, Schweregradklassifizierung, Eigentümer-Vorschläge und Ergebnisverarbeitung.
Wenn Codex Security Cloud für Ihr Konto verfügbar ist, kann der Skill $cloud-findings des Security-Plugins Findings, Berichte, aufgezeichnete Zuweisungen und Verifizierungen sowie den Scan-Status in Codex Desktop oder der Codex CLI lesen. Cloud ist eine optionale Verbindung; lokale Scans funktionieren auch ohne sie.
Siehe Cloud-Verbindungseinrichtung und CLI-Lesevorgänge für Authentifizierungsanforderungen und ein schreibgeschütztes Beispiel.
Verwenden Sie policy, um eine neue SECURITY.md zu entwerfen oder eine bestehende zu aktualisieren. Verwenden Sie --path, um eine Komponente auszuwählen:
cs policy .
cs policy . --path services/api --knowledge-base architecture.md