업데이트로 돌아가기
New releaseSep 4, 2026

codex-security npm-v0.1.25

보안 취약점을 찾고, 검증하고, 수정하기 위한 OpenAI의 Codex Security CLI 및 TypeScript SDK. npm: https://www.npmjs.com/package/@openai/codex-security

공유

Codex Security

Codex Security는 코드에서 취약점을 찾고, 조사하고, 수정하는 데 도움을 줍니다. Codex에서 보안 워크플로를 사용하거나, @openai/codex-security CLI 및 TypeScript SDK로 자동화할 수 있습니다.

기능

  • 저장소, 선택한 경로 또는 Git 변경 사항을 스캔합니다. 심층 스캔은 표준 스캔을 반복하고 중복 제거된 결과를 반환합니다.
  • 후보 결과를 검증하고, 패치를 생성하며, 기존 수정 사항을 확인합니다.
  • SECURITY.md 정책 초안을 작성하고 나중에 검토할 수 있도록 위협 모델을 저장합니다.
  • 저장된 스캔과 결과를 탐색하고, 중복을 식별하며, 자체 기준에 따라 심각도를 평가하고, 소스 및 Git 기록을 기반으로 담당자를 제안합니다.
  • 타사 스캐너 결과를 미리 보고, 로컬에 저장하거나, 지원되는 보고서를 Codex Security Cloud에 게시합니다. 스캐너 가져오기 가이드.
  • Linear, Jira 또는 GitHub에서 결과를 추적하고, 완료된 스캔을 게시하거나, SARIF, JSON, CSV로 내보냅니다. 통합 워크플로.
  • CI 및 컨테이너를 포함하여 저장소 또는 프로젝트 구성 요소 전반에 걸쳐 스캔을 자동화합니다.

Codex에서 사용

Codex Security 플러그인이 활성화된 Codex 세션에서 저장소를 열고 다음과 같이 요청하세요:

이 저장소에서 인증 및 권한 부여에 중점을 두고 Codex Security 스캔을 실행하세요. 저장된 보고서, 소스 증거, 커버리지 한도를 반환하세요.

완료된 스캔은 보고서와 결과를 저장합니다. 보고서에서 소스 증거와 제외 항목을 확인한 후 패치를 요청하거나 Codex에 기존 수정 사항을 확인하도록 요청하세요. 설정, 작업 선택 및 복구에 대해서는 에이전트 워크플로 가이드를 참조하세요.

빠른 시작

22.x 내의 Node.js 22.13.0+ 또는 Node.js 24.x 또는 26.x, 그리고 Python 3.10+가 필요합니다. Python 3.10에는 tomli도 필요합니다.

CLI를 전역으로 설치하고 로그인하세요:

npm install --global @openai/codex-security
cs login

저장소 디렉터리에서 첫 번째 스캔을 실행하세요:

cs scan .

스캔이 완료되면 터미널에서 REPORT 경로의 Markdown 파일을 엽니다. 동일한 저장소에서 cs scans show를 실행하면 가장 최근에 완료된 스캔을 다시 확인할 수 있습니다. 보고서에서 제외 항목을 해석하는 방법은 스캔 범위 및 후속 작업을 참조하세요.

cs와 codex-security는 동일한 CLI를 실행합니다. 짧은 이름이 다른 명령과 충돌하는 경우 codex-security를 사용하세요. 전역 설치를 건너뛰려는 경우, 또는 npm이 EEXIST 충돌을 보고하는 경우 로그인과 스캔 모두에서 cs 대신 npx @openai/codex-security를 사용하세요.

CI의 경우 스캔 프로세스의 환경에 OPENAI_API_KEY 또는 CODEX_API_KEY를 설정하세요. 헤드리스 머신의 경우 디바이스 또는 SSH 로그인을 참조하세요.

스캔 옵션

범위와 스캔 모드를 선택하세요:

# Scan selected paths.
cs scan . --path src --path tests

# Scan committed changes from a base revision to HEAD.
cs scan . --diff origin/main

# Run a deep scan of the repository.
cs scan . --mode deep

권고된 15분 Standard 조사 허용 시간에는 cs scan . --max-time 15를 사용하세요. 타이밍 의미론과 Deep Scan 제한은 조사 시간을 참조하세요.

명령을 둘러보려면 cs --help를, 스캔 옵션, 비용 제한, 스캔 후 패치에 대해서는 cs scan --help를 사용하세요.

여러 저장소에 걸쳐 있는 애플리케이션의 경우 여러 저장소에 걸친 하나의 시스템 검토를 참조하세요. 하나의 재개 가능한 캠페인에서 독립적인 저장소 검토를 수행하려면 대량 스캔을 사용하세요.

스캔은 기존의 루트 및 컴포넌트 SECURITY.md 지침을 사용합니다. 이를 작성하거나 수정하려면 SECURITY.md 생성을 참조하세요.

일부 사이버보안 요청과 보호된 발견 사항에는 Trusted Access for Cyber가 필요합니다. Daybreak 액세스가 있는 계정의 경우 Codex 토글은 Daybreak 옵트인을, 프로그램을 명시적으로 선택하려면 Cyber 액세스 프로그램을 참조하세요.

TypeScript SDK

TypeScript 프로젝트에 패키지를 로컬로 설치하세요:

npm install @openai/codex-security

그런 다음 가져옵니다:

import { CodexSecurity } from "@openai/codex-security";

const security = new CodexSecurity();

try {
  const result = await security.run("/path/to/repository");
  console.log(result.reportPath);
} finally {
  await security.close();
}

SDK 가이드에는 심층 스캔 구성, 검증, 심각도 분류, 소유자 제안 및 결과 처리가 포함되어 있습니다.

기존 Cloud 발견 사항 읽기

Codex Security Cloud를 계정에서 사용할 수 있는 경우, Security 플러그인의 $cloud-findings 스킬은 Codex 데스크톱 또는 Codex CLI에서 발견 사항, 보고서, 기록된 할당 및 검증, 스캔 상태를 읽을 수 있습니다. Cloud는 선택적 연결이며, 로컬 스캔은 없이도 작동합니다.

인증 요구 사항과 읽기 전용 예시는 Cloud 연결 설정 및 CLI 읽기를 참조하세요.

SECURITY.md 생성

policy를 사용하여 새 SECURITY.md를 작성하거나 기존 파일을 업데이트하세요. --path를 사용하여 컴포넌트를 선택하세요:

cs policy .
cs policy . --path services/api --knowledge-base architecture.md

명령은 초안을 저장소 외부에 저장하고 기존 파일은 변경하지 않습니다. diff와 노트를 검토하고 초안을 편집한 다음, 표시된 정책 대상에 SECURITY.md만 복사하세요. 저장된 아키텍처 및 위협 모델 문서는 저장소 외부에 보관하세요.

스캔은 이미 루트 및 컴포넌트 SECURITY.md 파일을 사용합니다. 변경이 필요 없다면 현재 정책을 유지하세요. 정책을 업데이트할 때는 취약점 보고 지침을 보존하세요. 명령이 정책이 이미 최신이라고 표시하면 복사할 필요가 없습니다.

.github/SECURITY.md 또는 docs/SECURITY.md에 있는 파일에는 종종 보고 지침이 포함되어 있습니다. 정책을 작성할 때 이를 보존하세요. 해당 위치는 저장소 전체 스캔 지침을 자동으로 제공하지 않습니다. 정책 위치, 미해결 질문, 저장된 아티팩트 및 SDK 사용법은 정책 가이드를 참조하세요.

위협 모델 저장 및 내보내기

스캔과 정책 생성은 결과와 함께 위협 모델을 저장합니다. 추가 분석을 시작하지 않고 저장된 모델을 내보내려면:

cs export --scan SCAN_ID --artifact threat-model --output threatmodel.md

--scan을 생략하면 현재 저장소의 최근 완료된 스캔을 사용합니다. 내보내기 가이드에서는 발견 사항, CI용 SARIF 출력, 오프라인 TypeScript API도 다룹니다. ServiceNow Application Vulnerability Response에 대해서는 ServiceNow용 발견 사항 내보내기를 참조하세요.

GitHub Actions

GitHub 호스팅 Ubuntu에서 주간 저장소 스캔을 실행하려면:

  1. OpenAI API 키를 저장소 시크릿 CODEX_SECURITY_API_KEY로 추가합니다.
  2. 주간 워크플로를 .github/workflows/codex-security.yml에 복사합니다. REPLACE_WITH_REVIEWED_COMMIT을 Action 릴리스의 검토된 배포 커밋 SHA로 교체합니다.
  3. 다음 예약 실행 전에 워크플로를 시험하려면 Actions → Codex Security repository → Run workflow를 엽니다.

예시는 스캔당 예상 $5 한도를 사용하며 작업을 실패시키지 않고 발견 사항을 보고합니다. 진행 중인 요청은 한도를 초과할 수 있습니다. 심각도 임계값, 풀 리퀘스트 검사 또는 러너 요구 사항은 Action 가이드를 참조하세요. 자격을 갖춘 계정은 Daybreak 액세스를 참조하세요.

컨테이너화된 대량 스캔

실행 간에 결과와 인증을 유지하는 포함된 Docker Compose 구성을 사용하여 저장소 목록을 스캔합니다. 컨테이너 빠른 시작을 참조하세요. 워크플로 러너는 개별 CLI 단계를 컨테이너에서 실행하며 별도로 배포된 발견 사항 서비스에 연결할 수 있습니다.

발견 사항 저장 및 중복 제거

발견 사항 가이드는 로컬 저장, 중복 제거, 그리고 publish scan --to custom 및 명시적 --findings-url을 통한 독립적으로 운영되는 엔드포인트와의 호환성을 다룹니다. 로컬 serve 명령과 브라우저 대시보드는 제거되었으며, 기존 데이터베이스와 스캔 아티팩트는 계속 사용할 수 있습니다.

기타 제공자

스캔은 OpenAI, Amazon Bedrock, OpenRouter, Fireworks AI, Cheaper Inference를 지원합니다. Bedrock은 AWS 자격 증명을 사용하며 별도의 OpenAI 로그인이 필요하지 않습니다. AWS 프로필, 리전, 모델 액세스는 Bedrock 설정을 참조하세요.

OpenRouter, Fireworks AI, Cheaper Inference의 경우 제공자의 API 키를 설정하고 지원되는 모델을 선택하세요. 예시는 제공자 구성을 참조하세요.

문서

더 읽기

카테고리

Vulnerability ScannersStatic Code Analysis (SAST)DevSecOps