Codex Security

@openai/codex-security é uma CLI e um SDK TypeScript para encontrar, validar e corrigir vulnerabilidades de segurança no seu código.

👉👉 Consulte a documentação do Codex Security para obter a documentação completa.

Algumas solicitações de cibersegurança e descobertas protegidas exigem aprovação por meio do Trusted Access for Cyber. Para participar do programa, visite chatgpt.com/cyber.

Início rápido

Requer Node.js 22.13.0 ou posterior e Python 3.10 ou posterior.

npm install @openai/codex-security
codex-security login
codex-security scan /path/to/directory

Para CI, defina OPENAI_API_KEY em vez de fazer login.

SDK TypeScript

Codex Security é um pacote Javascript:

import { CodexSecurity } from "@openai/codex-security";

const security = new CodexSecurity();
const result = await security.run("/path/to/directory");
await security.run("/path/to/directory", {
  mode: "deep",
  workers: 2,
  subagents: 0,
  stopAfterNoNew: 3,
  maxDiscoveryRuns: 10,
  maxTimeHours: 1.5,
});

console.log(result.reportPath);
await security.close();

Verificações em massa em contêineres

Use a configuração Docker Compose incluída para verificações de muitos repositórios. Consulte o início rápido em contêiner para obter mais detalhes.

Para estágios individuais da CLI com estado durável e acesso a um serviço de descobertas implantado separadamente, use a mesma imagem do scanner com o exemplo Compose do executor de fluxo de trabalho.

Serviço de descobertas (pré-visualização)

Execute codex-security serve para iniciar o serviço sem Docker. Consulte execução sem Docker para pré-requisitos, credenciais e configuração de armazenamento.

O serviço de descobertas é executado a partir da mesma imagem ghcr.io/openai/codex-security que o scanner (ou uma compilação local da fonte), com um contêiner separado e volume de estado configurado por compose.findings.yaml. Ele armazena descobertas e embeddings em SQLite e lista descobertas com paginação. Seu painel somente leitura em /dashboard é atualizado a cada cinco segundos e mostra descobertas armazenadas e grupos de duplicados do banco de dados do serviço. Ele também retorna possíveis duplicados por similaridade de embedding dentro de um repositório ou de um escopo explícito de todos os repositórios. O comando codex-security publish scan --to custom --findings-url http://localhost:3000 envia descobertas concluídas e seu ID de repositório. O SDK e o comando codex-security dedupe recuperam candidatos, executam revisões independentes do Codex localmente e persistem grupos de duplicados aceitos; --all-repositories permite o escopo mais amplo.

Outros provedores

Para usar outro provedor de inferência, defina sua chave de API e selecione um modelo:

export AWS_BEARER_TOKEN_BEDROCK="<your-bedrock-api-key>"
export AWS_REGION="us-east-2"
codex-security scan . --provider amazon-bedrock --model openai.gpt-5.6-luna

export OPENROUTER_API_KEY="<your-openrouter-api-key>"
codex-security scan . --provider openrouter --model anthropic/claude-sonnet-4.5

export FIREWORKS_API_KEY="<your-fireworks-api-key>"
codex-security scan . --provider fireworks --model accounts/fireworks/models/qwen3-235b-a22b

Documentação

👉👉 Consulte a documentação do Codex Security para obter a documentação completa.