Codex Security

Codex Security vous aide à trouver, analyser et corriger les vulnérabilités dans votre code. Utilisez ses workflows de sécurité dans Codex, ou automatisez-les avec la CLI @openai/codex-security et le SDK TypeScript.

• Dans Codex : choisissez un workflow de sécurité.
• Dans un terminal : installez la CLI et analysez votre dépôt.
• Dans l'automatisation : utilisez le SDK TypeScript ou la GitHub Action.

Fonctionnalités

• Analysez des dépôts, des chemins sélectionnés ou des modifications Git. Les analyses approfondies répètent les analyses standard et renvoient leurs résultats dédupliqués.
• Validez les résultats candidats, générez des correctifs et vérifiez les corrections existantes.
• Rédigez des politiques SECURITY.md et enregistrez des modèles de menace pour un examen ultérieur.
• Parcourez les analyses et résultats enregistrés, identifiez les doublons, évaluez la gravité selon votre propre référentiel et suggérez des responsables à partir du code source et de l'historique Git.
• Prévisualisez les résultats de scanners tiers, enregistrez-les localement ou publiez les rapports pris en charge vers Codex Security Cloud. Guides d'import de scanners.
• Suivez les résultats dans Linear, Jira ou GitHub, publiez les analyses terminées ou exportez en SARIF, JSON et CSV. Workflows d'intégration.
• Automatisez les analyses sur plusieurs dépôts ou composants de projet, y compris en CI et dans des conteneurs.

Utilisation dans Codex

Ouvrez votre dépôt dans une session Codex avec le plugin Codex Security activé, puis demandez :

Lance une analyse Codex Security sur ce dépôt, en te concentrant sur l'authentification et l'autorisation. Renvoie le rapport enregistré, les preuves sources et les limites de couverture.

Une analyse terminée enregistre un rapport et des résultats. Lisez le rapport pour les preuves sources et les exclusions, puis demandez un correctif ou demandez à Codex de vérifier une correction existante. Consultez le guide des workflows d'agent pour la configuration, la sélection des tâches et la reprise.

Démarrage rapide

Nécessite Node.js 22.13.0+ dans la branche 22.x, ou Node.js 24.x ou 26.x, et Python 3.10+. Python 3.10 nécessite également tomli.

Installez la CLI globalement et connectez-vous :

npm install --global @openai/codex-security
cs login

Lancez votre premier scan depuis le répertoire du dépôt :

cs scan .

Lorsque l'analyse est terminée, ouvrez le fichier Markdown situé au chemin REPORT dans le terminal. Exécutez cs scans show depuis le même dépôt pour retrouver sa dernière analyse terminée. Consultez scan scope and follow-up work pour savoir comment interpréter les exclusions dans le rapport.

cs et codex-security exécutent la même CLI. Si le nom court entre en conflit avec une autre commande, utilisez codex-security. Pour éviter l'installation globale, ou si npm signale un conflit EEXIST, utilisez npx @openai/codex-security à la place de cs pour la connexion et l'analyse.

Pour la CI, définissez OPENAI_API_KEY ou CODEX_API_KEY dans l'environnement du processus d'analyse. Pour une machine sans interface, consultez device or SSH login.

Options d'analyse

Choisissez une portée et un mode d'analyse :

# Scan selected paths.
cs scan . --path src --path tests

# Scan committed changes from a base revision to HEAD.
cs scan . --diff origin/main

# Run a deep scan of the repository.
cs scan . --mode deep

Utilisez cs scan . --max-time 15 pour une allocation d'investigation Standard consultative de 15 minutes. Consultez investigation time pour la sémantique temporelle et les limites du Deep Scan.

Utilisez cs --help pour parcourir les commandes, ou cs scan --help pour les options de scan, les limites de coût et le patching après un scan.

Pour une application répartie sur plusieurs dépôts, consultez review one system across repositories. Utilisez les bulk scans pour des revues de dépôts indépendants dans une seule campagne reprenable.

Les scans utilisent les indications existantes des fichiers SECURITY.md à la racine et au niveau des composants. Pour le rédiger ou le réviser, consultez Generate SECURITY.md.

Certaines demandes de cybersécurité et certaines découvertes protégées nécessitent Trusted Access for Cyber. Pour les comptes disposant d'un accès Daybreak, consultez Daybreak opt-in pour le basculement Codex et Cyber access programs pour sélectionner explicitement un programme.

SDK TypeScript

Installez le paquet localement dans votre projet TypeScript :

npm install @openai/codex-security

Puis importez-le :

import { CodexSecurity } from "@openai/codex-security";

const security = new CodexSecurity();

try {
  const result = await security.run("/path/to/repository");
  console.log(result.reportPath);
} finally {
  await security.close();
}

Le guide du SDK couvre la configuration de l'analyse approfondie, la validation, la classification des gravités, les suggestions de responsables et la gestion des résultats.

Lire les constats Cloud existants

Lorsque Codex Security Cloud est disponible pour votre compte, la compétence $cloud-findings du plugin Security peut lire les constats, les rapports, l'attribution et la vérification enregistrées, ainsi que l'état des analyses dans Codex desktop ou la CLI Codex. Cloud est une connexion facultative ; les analyses locales fonctionnent sans elle.

Consultez Configuration de la connexion Cloud et lectures via la CLI pour les exigences d'authentification et un exemple en lecture seule.

Générer SECURITY.md

Utilisez policy pour rédiger un nouveau SECURITY.md ou mettre à jour un fichier existant. Utilisez --path pour sélectionner un composant :

cs policy .
cs policy . --path services/api --knowledge-base architecture.md

La commande enregistre son brouillon en dehors du dépôt et laisse les fichiers existants inchangés. Examinez le diff et les notes, modifiez le brouillon, puis copiez uniquement SECURITY.md vers la Policy target affichée. Conservez les documents d'architecture et de modèle de menace enregistrés en dehors du dépôt.

Les scans utilisent déjà les fichiers SECURITY.md à la racine et dans les composants. Conservez votre politique actuelle si elle ne nécessite aucune modification. Lors de sa mise à jour, préservez ses instructions de signalement des vulnérabilités. Si la commande indique que la politique est déjà à jour, aucune copie n'est nécessaire.