Codex Security

@openai/codex-security は、コード内のセキュリティ脆弱性を検出、検証、修正するためのCLIおよびTypeScript SDKです。

詳細については、Codex Securityドキュメント を参照してください。

一部のサイバーセキュリティリクエストや保護された検出結果は、Trusted Access for Cyberによる承認が必要です。アクセスの申請または確認は、chatgpt.com/cyber にアクセスしてください。

クイックスタート

Node.js 22.xリリースラインの22.13.0以降、Node.js 24.x、またはNode.js 26.xと、Python 3.10以降が必要です。また、Codex Securityへのアクセス権が必要です。

npm install @openai/codex-security
npx @openai/codex-security login
npx @openai/codex-security scan .
npx @openai/codex-security scan . --model gpt-5.6-terra --effort high
npx @openai/codex-security scan . --mode deep --workers 2 --subagents 0 --stop-after-no-new 3 --max-discovery-runs 10

CIでは、サインインする代わりに OPENAI_API_KEY または CODEX_API_KEY を設定してください。環境変数のAPIキーは現在のスキャンに直接渡され、Codexの認証情報ホームやシステムキーリングに保存されることはありません。

別の推論プロバイダを使用するには、そのAPIキーを設定し、モデルを選択します:

export OPENROUTER_API_KEY="<your-openrouter-api-key>"
npx @openai/codex-security scan . --provider openrouter --model anthropic/claude-sonnet-4.5

export FIREWORKS_API_KEY="<your-fireworks-api-key>"
npx @openai/codex-security scan . --provider fireworks --model accounts/fireworks/models/qwen3-235b-a22b

export AWS_BEARER_TOKEN_BEDROCK="<your-bedrock-api-key>"
export AWS_REGION="us-east-2"
npx @openai/codex-security scan . --provider amazon-bedrock --model openai.gpt-5.6-luna

Amazon Bedrockは、標準のAWSアクセスキー、プロファイル、Webアイデンティティ、コンテナ認証情報、およびデフォルトのAWS認証情報チェーンにも対応しています。

ローカルサインインは、管理対象デバイスで必要なシステムキーリングを含む、Codexが設定した認証情報バックエンドを尊重します。Codex Securityは、ログイン認証情報とスキャン認証情報を同じプライベートで永続的な状態ディレクトリに保持します。

ChatGPTサインインとAPIキーの両方が利用可能な場合、インタラクティブスキャンはどちらの認証情報を使用するかを尋ねます。CIやその他の非対話型スキャンでは、既存のAPIキーの優先順位が維持されます。必要に応じて認証情報を明示的に選択してください:

npx @openai/codex-security scan . --auth chatgpt
npx @openai/codex-security scan . --auth api-key

ChatGPTサインインを自動デフォルトにするには、設定されているAPIキーをすべて設定解除します:

unset OPENAI_API_KEY CODEX_API_KEY

スキャン履歴は、Codex Securityワークベンチの状態ディレクトリに保存されます。そのディレクトリに書き込めない場合は、CODEX_SECURITY_STATE_DIR をリポジトリの外の書き込み可能なディレクトリに設定してください。

scans compare BEFORE_SCAN_ID AFTER_SCAN_ID は、根本原因による検出結果のマッチングを自動的に行い、保存済みのマッチを再利用して、新規、継続中、再開、解決済み、または不明な検出結果を特定します。カバレッジが不完全であるか、元の場所がレビューされていない場合、欠落している検出結果は不明のままになります。

詳細な診断

--verbose を追加すると、秘匿されたスキャン診断がstderrに出力されます:

npx @openai/codex-security scan . --verbose

CODEX_SECURITY_LOG_LEVEL=debug でも診断が有効になります。フォールバックは LOG_LEVEL=debug です。JSON結果はstdoutに残り、認証情報とプロバイダ識別子は秘匿されたままです。

TypeScript SDK

import { CodexSecurity } from "@openai/codex-security";

const security = new CodexSecurity();
const result = await security.run(".");
await security.run(".", {
  mode: "deep",
  workers: 2,
  subagents: 0,
  stopAfterNoNew: 3,
  maxDiscoveryRuns: 10,
});

console.log(result.reportPath);
await security.close();

コンテナ化された一括スキャン

公式イメージと同梱のDocker Compose設定を使用して、不変のGitリビジョンに固定されたリポジトリを非対話型で再開可能なスキャンを行えます。認証、プライベートな結果ストレージ、オプションのUbuntu AppArmorハードニングについては、コンテナクイックスタートを参照してください。

--knowledge-base PATH を渡すと、すべてのリポジトリとセキュリティドキュメントを共有できます。複数のファイルやディレクトリを指定する場合は、このオプションを繰り返します。

完全なコマンドヘルプ、実行時のデフォルト、ネイティブなマルチエージェントワーカー数の制限、環境変数、ディープスキャン設定、SDKオプションについては、パッケージREADME と公式CLIリファレンスを参照してください。

codex-security npm-v0.1.8

カテゴリ