Codex Security

Codex Security आपको अपने कोड में कमज़ोरियों को खोजने, जाँचने और ठीक करने में मदद करता है। इसके सुरक्षा वर्कफ़्लो का उपयोग Codex में करें, या उन्हें @openai/codex-security CLI और TypeScript SDK के साथ स्वचालित करें।

Codex में: एक सुरक्षा वर्कफ़्लो चुनें।
टर्मिनल में: CLI इंस्टॉल करें और अपने रिपॉज़िटरी को स्कैन करें।
स्वचालन में: TypeScript SDK या GitHub Action का उपयोग करें।

विशेषताएँ

रिपॉज़िटरी, चयनित पथ, या Git परिवर्तनों को स्कैन करें। गहरे स्कैन Standard स्कैन को दोहराते हैं और उनके डुप्लिकेट-रहित निष्कर्ष लौटाते हैं।
उम्मीदवार निष्कर्षों को मान्य करें, पैच उत्पन्न करें, और मौजूदा फ़िक्स को सत्यापित करें।
SECURITY.md नीतियों का मसौदा तैयार करें और बाद में समीक्षा के लिए थ्रेट मॉडल सहेजें।
सहेजे गए स्कैन और निष्कर्षों को ब्राउज़ करें, डुप्लिकेट की पहचान करें, अपने स्वयं के रूब्रिक के विरुद्ध गंभीरता का आकलन करें, और स्रोत और Git इतिहास से स्वामियों का सुझाव दें।
तृतीय-पक्ष स्कैनर निष्कर्षों का पूर्वावलोकन करें, उन्हें स्थानीय रूप से सहेजें, या समर्थित रिपोर्ट को Codex Security Cloud पर प्रकाशित करें। स्कैनर आयात गाइड।
Linear, Jira, या GitHub में निष्कर्षों को ट्रैक करें, पूर्ण किए गए स्कैन प्रकाशित करें, या SARIF, JSON, और CSV निर्यात करें। एकीकरण वर्कफ़्लो।
रिपॉज़िटरी या प्रोजेक्ट घटकों में स्कैन को स्वचालित करें, जिसमें CI और कंटेनर भी शामिल हैं।

Codex में उपयोग

Codex Security प्लगइन सक्षम के साथ अपने रिपॉज़िटरी को Codex सत्र में खोलें, फिर पूछें:

इस रिपॉज़िटरी पर Codex Security स्कैन चलाएँ, प्रमाणीकरण और प्राधिकरण पर ध्यान केंद्रित करते हुए। सहेजी गई रिपोर्ट, स्रोत साक्ष्य, और कवरेज सीमाएँ लौटाएँ।

एक पूर्ण स्कैन एक रिपोर्ट और निष्कर्ष सहेजता है। स्रोत साक्ष्य और बहिष्करणों के लिए रिपोर्ट पढ़ें, फिर पैच का अनुरोध करें या Codex से किसी मौजूदा फ़िक्स को सत्यापित करने के लिए कहें। सेटअप, कार्य चयन, और रिकवरी के लिए एजेंट वर्कफ़्लो गाइड देखें।

त्वरित शुरुआत

22.x के भीतर Node.js 22.13.0+, या Node.js 24.x या 26.x, और Python 3.10+ आवश्यक है। Python 3.10 के लिए tomli भी आवश्यक है।

CLI को विश्व स्तर पर इंस्टॉल करें और साइन इन करें:

npm install --global @openai/codex-security
cs login

रिपॉज़िटरी निर्देशिका से अपना पहला स्कैन चलाएँ:

cs scan .

जब स्कैन पूरा हो जाए, तो REPORT पथ पर स्थित Markdown फ़ाइल को टर्मिनल में खोलें। उसी रिपॉज़िटरी से cs scans show चलाएँ ताकि इसका नवीनतम पूर्ण स्कैन फिर से मिल सके। रिपोर्ट में बहिष्करणों की व्याख्या कैसे करें, इसके लिए scan scope and follow-up work देखें।

cs और codex-security एक ही CLI चलाते हैं। यदि छोटा नाम किसी अन्य कमांड से टकराता है, तो codex-security का उपयोग करें। वैश्विक इंस्टॉल को छोड़ने के लिए, या यदि npm कोई EEXIST संघर्ष रिपोर्ट करता है, तो लॉगिन और स्कैनिंग दोनों के लिए cs के स्थान पर npx @openai/codex-security का उपयोग करें।

CI के लिए, स्कैन प्रक्रिया के पर्यावरण में OPENAI_API_KEY या CODEX_API_KEY सेट करें। हेडलेस मशीन के लिए, device or SSH login देखें।

स्कैन विकल्प

एक स्कोप और स्कैन मोड चुनें:

# Scan selected paths.
cs scan . --path src --path tests

# Scan committed changes from a base revision to HEAD.
cs scan . --diff origin/main

# Run a deep scan of the repository.
cs scan . --mode deep

सलाहकारी 15-मिनट के Standard जाँच भत्ते के लिए cs scan . --max-time 15 का उपयोग करें। समय-संबंधी अर्थ और Deep Scan सीमाओं के लिए investigation time देखें।

कमांड ब्राउज़ करने के लिए cs --help का उपयोग करें, या स्कैन विकल्पों, लागत सीमाओं और स्कैन के बाद पैचिंग के लिए cs scan --help देखें।

कई रिपॉज़िटरी में फैले किसी एप्लिकेशन के लिए, review one system across repositories देखें। एक ही फिर से शुरू किए जा सकने वाले अभियान में स्वतंत्र रिपॉज़िटरी समीक्षाओं के लिए bulk scans का उपयोग करें।

स्कैन मौजूदा रूट और कंपोनेंट SECURITY.md मार्गदर्शन का उपयोग करते हैं। इसे लिखने या संशोधित करने के लिए, Generate SECURITY.md देखें।

कुछ साइबरसुरक्षा अनुरोधों और संरक्षित निष्कर्षों के लिए Trusted Access for Cyber आवश्यक है। Daybreak एक्सेस वाले खातों के लिए, Codex टॉगल के लिए Daybreak opt-in देखें और किसी प्रोग्राम को स्पष्ट रूप से चुनने के लिए Cyber access programs देखें।

TypeScript SDK

अपने TypeScript प्रोजेक्ट में पैकेज को स्थानीय रूप से इंस्टॉल करें:

npm install @openai/codex-security

फिर इसे इम्पोर्ट करें:

import { CodexSecurity } from "@openai/codex-security";

const security = new CodexSecurity();

try {
  const result = await security.run("/path/to/repository");
  console.log(result.reportPath);
} finally {
  await security.close();
}

SDK गाइड में डीप-स्कैन कॉन्फ़िगरेशन, वैलिडेशन, गंभीरता वर्गीकरण, स्वामी सुझाव और परिणाम प्रबंधन शामिल हैं।

मौजूदा Cloud findings पढ़ें

जब Codex Security Cloud आपके खाते के लिए उपलब्ध हो, तो Security प्लगइन का $cloud-findings स्किल Codex डेस्कटॉप या Codex CLI में findings, रिपोर्ट, रिकॉर्ड किए गए असाइनमेंट और सत्यापन, तथा स्कैन स्थिति पढ़ सकता है। Cloud एक वैकल्पिक कनेक्शन है; लोकल स्कैन इसके बिना भी काम करते हैं।

प्रमाणीकरण आवश्यकताओं और एक रीड-ओनली उदाहरण के लिए Cloud कनेक्शन सेटअप और CLI रीड्स देखें।

SECURITY.md जनरेट करें

नया SECURITY.md ड्राफ़्ट करने या मौजूदा को अपडेट करने के लिए policy का उपयोग करें। किसी कंपोनेंट का चयन करने के लिए --path का उपयोग करें:

cs policy .
cs policy . --path services/api --knowledge-base architecture.md

कमांड अपना ड्राफ़्ट रिपॉज़िटरी के बाहर सहेजता है और मौजूदा फ़ाइलों को अपरिवर्तित छोड़ देता है। diff और नोट्स की समीक्षा करें, ड्राफ़्ट को संपादित करें, फिर केवल SECURITY.md को प्रदर्शित Policy target पर कॉपी करें। सहेजे गए आर्किटेक्चर और थ्रेट-मॉडल दस्तावेज़ों को रिपॉज़िटरी के बाहर रखें।

स्कैन पहले से ही रूट और कंपोनेंट SECURITY.md फ़ाइलों का उपयोग करते हैं। यदि आपकी वर्तमान नीति में कोई बदलाव की आवश्यकता नहीं है तो उसे रखें। इसे अपडेट करते समय, इसके भेद्यता-रिपोर्टिंग निर्देशों को सुरक्षित रखें। यदि कमांड कहता है कि नीति पहले से ही अद्यतित है, तो किसी कॉपी की आवश्यकता नहीं है।

.github/SECURITY.md या docs/SECURITY.md पर मौजूद फ़ाइलों में अक्सर रिपोर्टिंग निर्देश होते हैं। नीति का ड्राफ़्ट तैयार करते समय उन्हें सुरक्षित रखें; वे स्थान स्वचालित रूप से रिपॉज़िटरी-व्यापी स्कैन मार्गदर्शन प्रदान नहीं करते। नीति स्थानों, अनुत्तरित प्रश्नों, सहेजे गए आर्टिफ़ैक्ट्स, और SDK उपयोग के लिए policy guide देखें।

थ्रेट मॉडल सहेजें और निर्यात करें

स्कैन और नीति निर्माण थ्रेट मॉडल को उनके परिणामों के साथ सहेजते हैं। किसी अन्य विश्लेषण को शुरू किए बिना सहेजे गए मॉडल को निर्यात करें:

cs export --scan SCAN_ID --artifact threat-model --output threatmodel.md

codex-security npm-v0.1.25