Codex Security

Codex Security te ayuda a encontrar, investigar y corregir vulnerabilidades en tu código. Usa sus flujos de trabajo de seguridad en Codex, o automatízalos con la CLI @openai/codex-security y el SDK de TypeScript.

En Codex: elige un flujo de trabajo de seguridad.
En una terminal: instala la CLI y escanea tu repositorio.
En automatización: usa el SDK de TypeScript o la GitHub Action.

Características

Escanea repositorios, rutas seleccionadas o cambios de Git. Los escaneos profundos repiten los escaneos estándar y devuelven sus hallazgos deduplicados.
Valida hallazgos candidatos, genera parches y verifica correcciones existentes.
Redacta políticas SECURITY.md y guarda modelos de amenazas para su revisión posterior.
Explora escaneos y hallazgos guardados, identifica duplicados, evalúa la severidad según tu propia rúbrica y sugiere responsables a partir del código fuente y del historial de Git.
Previsualiza hallazgos de escáneres de terceros, guárdalos localmente o publica los informes compatibles en Codex Security Cloud. Guías de importación de escáneres.
Realiza el seguimiento de hallazgos en Linear, Jira o GitHub, publica escaneos completados o exporta SARIF, JSON y CSV. Flujos de trabajo de integración.
Automatiza escaneos en repositorios o componentes de proyectos, incluso en CI y contenedores.

Uso en Codex

Abre tu repositorio en una sesión de Codex con el plugin de Codex Security habilitado, y luego solicita:

Ejecuta un escaneo de Codex Security en este repositorio, centrándote en autenticación y autorización. Devuelve el informe guardado, la evidencia de origen y los límites de cobertura.

Un escaneo completado guarda un informe y los hallazgos. Lee el informe para consultar la evidencia de origen y las exclusiones, luego solicita un parche o pide a Codex que verifique una corrección existente. Consulta la guía de flujos de trabajo del agente para la configuración, la selección de tareas y la recuperación.

Inicio rápido

Requiere Node.js 22.13.0+ dentro de 22.x, o Node.js 24.x o 26.x, y Python 3.10+. Python 3.10 también requiere tomli.

Instala la CLI globalmente e inicia sesión:

npm install --global @openai/codex-security
cs login

Ejecuta tu primer escaneo desde el directorio del repositorio:

cs scan .

Cuando finalice el escaneo, abre el archivo Markdown en la ruta REPORT en la terminal. Ejecuta cs scans show desde el mismo repositorio para encontrar de nuevo su último escaneo completado. Consulta alcance del escaneo y trabajo de seguimiento para saber cómo interpretar las exclusiones en el informe.

cs y codex-security ejecutan la misma CLI. Si el nombre corto entra en conflicto con otro comando, usa codex-security. Para omitir la instalación global, o si npm informa un conflicto EEXIST, usa npx @openai/codex-security en lugar de cs tanto para el inicio de sesión como para el escaneo.

Para CI, establece OPENAI_API_KEY o CODEX_API_KEY en el entorno del proceso de escaneo. Para una máquina sin interfaz, consulta inicio de sesión por dispositivo o SSH.

Opciones de escaneo

Elige un alcance y un modo de escaneo:

# Scan selected paths.
cs scan . --path src --path tests

# Scan committed changes from a base revision to HEAD.
cs scan . --diff origin/main

# Run a deep scan of the repository.
cs scan . --mode deep

Use cs scan . --max-time 15 para una asignación orientativa de investigación Estándar de 15 minutos. Consulte investigation time para la semántica de tiempos y los límites de Deep Scan.

Use cs --help para explorar los comandos, o cs scan --help para las opciones de escaneo, los límites de coste y el parcheo tras un escaneo.

Para una aplicación distribuida entre repositorios, consulte review one system across repositories. Use bulk scans para revisiones independientes de repositorios en una única campaña reanudable.

Los escaneos utilizan la guía existente de SECURITY.md en la raíz y en los componentes. Para escribirla o revisarla, consulte Generate SECURITY.md.

Algunas solicitudes de ciberseguridad y hallazgos protegidos requieren Trusted Access for Cyber. Para cuentas con acceso a Daybreak, consulte Daybreak opt-in para el conmutador de Codex y Cyber access programs para seleccionar un programa explícitamente.

SDK de TypeScript

Instale el paquete localmente en su proyecto de TypeScript:

npm install @openai/codex-security

Luego impórtalo:

import { CodexSecurity } from "@openai/codex-security";

const security = new CodexSecurity();

try {
  const result = await security.run("/path/to/repository");
  console.log(result.reportPath);
} finally {
  await security.close();
}

La guía del SDK incluye la configuración de análisis profundo, validación, clasificación de severidad, sugerencias de propietarios y manejo de resultados.

Leer hallazgos existentes de Cloud

Cuando Codex Security Cloud está disponible para tu cuenta, la habilidad $cloud-findings del plugin de Security puede leer hallazgos, informes, asignaciones y verificaciones registradas, y el estado de los escaneos en Codex desktop o en la CLI de Codex. Cloud es una conexión opcional; los escaneos locales funcionan sin ella.

Consulta Configuración de la conexión a Cloud y lecturas mediante CLI para conocer los requisitos de autenticación y un ejemplo de solo lectura.

Generar SECURITY.md

Usa policy para redactar un nuevo SECURITY.md o actualizar uno existente. Usa --path para seleccionar un componente:

cs policy .
cs policy . --path services/api --knowledge-base architecture.md

El comando guarda su borrador fuera del repositorio y deja los archivos existentes sin cambios. Revise el diff y las notas, edite el borrador y luego copie solo SECURITY.md al Policy target mostrado. Mantenga los documentos de arquitectura y modelo de amenazas guardados fuera del repositorio.

Los escaneos ya utilizan archivos SECURITY.md raíz y de componentes. Mantenga su política actual si no necesita cambios. Al actualizarla, conserve sus instrucciones de notificación de vulnerabilidades. Si el comando indica que la política ya está actualizada, no se necesita copia.

codex-security npm-v0.1.25