Codex Security

@openai/codex-security는 코드에서 보안 취약점을 찾고, 검증하고, 수정하기 위한 CLI 및 TypeScript SDK입니다.

자세한 내용은 Codex Security 문서를 참조하세요.

일부 사이버 보안 요청 및 보호된 결과물은 Trusted Access for Cyber를 통한 승인이 필요합니다. 액세스를 신청하거나 확인하려면 chatgpt.com/cyber를 방문하세요.

빠른 시작

Node.js 22.13.0 이상(22.x 릴리스 라인), Node.js 24.x 또는 Node.js 26.x, Python 3.10 이상, 그리고 Codex Security 액세스 권한이 필요합니다.

npm install @openai/codex-security
npx @openai/codex-security login
npx @openai/codex-security scan .
npx @openai/codex-security scan . --model gpt-5.6-terra --effort high
npx @openai/codex-security scan . --mode deep --workers 2 --subagents 0 --stop-after-no-new 3 --max-discovery-runs 10

CI의 경우 로그인 대신 OPENAI_API_KEY 또는 CODEX_API_KEY를 설정하세요. 환경 API 키는 현재 스캔에 직접 전달되며 Codex의 자격 증명 홈 디렉터리나 시스템 키링에 저장되지 않습니다.

다른 추론 공급자를 사용하려면 해당 API 키를 설정하고 모델을 선택하세요:

export OPENROUTER_API_KEY="<your-openrouter-api-key>"
npx @openai/codex-security scan . --provider openrouter --model anthropic/claude-sonnet-4.5

export FIREWORKS_API_KEY="<your-fireworks-api-key>"
npx @openai/codex-security scan . --provider fireworks --model accounts/fireworks/models/qwen3-235b-a22b

export AWS_BEARER_TOKEN_BEDROCK="<your-bedrock-api-key>"
export AWS_REGION="us-east-2"
npx @openai/codex-security scan . --provider amazon-bedrock --model openai.gpt-5.6-luna

Amazon Bedrock은 표준 AWS 액세스 키, 프로필, 웹 ID, 컨테이너 자격 증명 및 기본 AWS 자격 증명 체인도 지원합니다.

로컬 로그인은 관리형 디바이스에 필요한 시스템 키링을 포함하여 Codex에 구성된 자격 증명 백엔드를 따릅니다. Codex Security는 로그인 및 스캔 자격 증명을 동일한 비공개 영구 상태 디렉터리에 보관합니다.

ChatGPT 로그인과 API 키가 모두 있는 경우, 대화형 스캔은 어떤 자격 증명을 사용할지 묻습니다. CI 및 기타 비대화형 스캔은 기존 API 키 우선 순위를 유지합니다. 필요할 때 자격 증명을 명시적으로 선택하세요:

npx @openai/codex-security scan . --auth chatgpt
npx @openai/codex-security scan . --auth api-key

ChatGPT 로그인을 자동 기본값으로 설정하려면 구성된 API 키를 모두 해제하세요:

unset OPENAI_API_KEY CODEX_API_KEY

스캔 기록은 Codex Security 워크벤치 상태 디렉터리에 저장됩니다. 해당 디렉터리에 쓸 수 없는 경우 저장소 외부의 쓰기 가능한 디렉터리로 CODEX_SECURITY_STATE_DIR을 설정하세요.

scans compare BEFORE_SCAN_ID AFTER_SCAN_ID는 근본 원인별로 결과를 자동으로 매칭하고, 저장된 매칭을 재사용하며, 신규, 지속, 재개, 해결 또는 알 수 없는 결과를 식별합니다. 적용 범위가 불완전하거나 원래 위치가 검토되지 않은 경우 누락된 결과는 알 수 없음으로 유지됩니다.

상세 진단

수정된 스캔 진단을 stderr로 출력하려면 --verbose를 추가하세요:

npx @openai/codex-security scan . --verbose

CODEX_SECURITY_LOG_LEVEL=debug도 진단을 활성화합니다. LOG_LEVEL=debug는 그 폴백입니다. JSON 결과는 stdout에 유지되며, 자격 증명과 공급자 식별자는 계속 수정된 상태로 유지됩니다.

TypeScript SDK

import { CodexSecurity } from "@openai/codex-security";

const security = new CodexSecurity();
const result = await security.run(".");
await security.run(".", {
  mode: "deep",
  workers: 2,
  subagents: 0,
  stopAfterNoNew: 3,
  maxDiscoveryRuns: 10,
});

console.log(result.reportPath);
await security.close();

컨테이너화된 대량 스캔

불변 Git 리비전에 고정된 저장소의 비대화형 및 재개 가능한 스캔을 위해 공식 이미지와 포함된 Docker Compose 구성을 사용하세요. 인증, 비공개 결과 저장 및 선택적 Ubuntu AppArmor 강화에 대해서는 컨테이너 빠른 시작을 참조하세요.

모든 저장소와 보안 문서를 공유하려면 --knowledge-base PATH를 전달하세요. 여러 파일이나 디렉터리의 경우 옵션을 반복하세요.

전체 명령 도움말, 런타임 기본값, 기본 멀티 에이전트 워커 제한, 환경 변수, 심층 스캔 구성 및 SDK 옵션에 대해서는 패키지 README 및 공식 CLI 참조를 참조하세요.