Codex Security

O Codex Security ajuda você a encontrar, investigar e corrigir vulnerabilidades no seu código. Use seus fluxos de trabalho de segurança no Codex, ou automatize-os com a CLI @openai/codex-security e o SDK TypeScript.

No Codex: escolha um fluxo de trabalho de segurança.
Em um terminal: instale a CLI e escaneie seu repositório.
Em automação: use o SDK TypeScript ou a GitHub Action.

Recursos

Escaneie repositórios, caminhos selecionados ou alterações do Git. Escaneamentos profundos repetem os escaneamentos padrão e retornam suas descobertas deduplicadas.
Valide descobertas candidatas, gere patches e verifique correções existentes.
Elabore políticas SECURITY.md e salve modelos de ameaça para revisão posterior.
Navegue por escaneamentos e descobertas salvos, identifique duplicatas, avalie a severidade de acordo com sua própria rubrica e sugira responsáveis a partir do código-fonte e do histórico do Git.
Visualize descobertas de scanners de terceiros, salve-as localmente ou publique relatórios compatíveis no Codex Security Cloud. Guias de importação de scanners.
Acompanhe descobertas no Linear, Jira ou GitHub, publique escaneamentos concluídos ou exporte SARIF, JSON e CSV. Fluxos de trabalho de integração.
Automatize escaneamentos em repositórios ou componentes de projeto, inclusive em CI e contêineres.

Uso no Codex

Abra seu repositório em uma sessão do Codex com o plugin Codex Security habilitado, depois peça:

Execute um escaneamento do Codex Security neste repositório, com foco em autenticação e autorização. Retorne o relatório salvo, as evidências de origem e os limites de cobertura.

Um escaneamento concluído salva um relatório e as descobertas. Leia o relatório para obter evidências de origem e exclusões, depois solicite um patch ou peça ao Codex para verificar uma correção existente. Consulte o guia de fluxo de trabalho do agente para configuração, seleção de tarefas e recuperação.

Início rápido

Requer Node.js 22.13.0+ dentro da série 22.x, ou Node.js 24.x ou 26.x, e Python 3.10+. Python 3.10 também requer tomli.

Instale a CLI globalmente e faça login:

npm install --global @openai/codex-security
cs login

Execute seu primeiro scan a partir do diretório do repositório:

cs scan .

Quando a verificação for concluída, abra o arquivo Markdown no caminho REPORT no terminal. Execute cs scans show a partir do mesmo repositório para encontrar novamente a sua verificação concluída mais recente. Consulte escopo da verificação e trabalho de acompanhamento para saber como interpretar as exclusões no relatório.

cs e codex-security executam a mesma CLI. Se o nome curto entrar em conflito com outro comando, use codex-security. Para ignorar a instalação global, ou se o npm reportar um conflito EEXIST, use npx @openai/codex-security no lugar de cs tanto para login quanto para verificação.

Para CI, defina OPENAI_API_KEY ou CODEX_API_KEY no ambiente do processo de verificação. Para uma máquina headless, consulte login por dispositivo ou SSH.

Opções de verificação

Escolha um escopo e um modo de verificação:

# Scan selected paths.
cs scan . --path src --path tests

# Scan committed changes from a base revision to HEAD.
cs scan . --diff origin/main

# Run a deep scan of the repository.
cs scan . --mode deep

Use cs scan . --max-time 15 para uma permissão consultiva de investigação Standard de 15 minutos. Consulte investigation time para a semântica de temporização e os limites do Deep Scan.

Use cs --help para navegar pelos comandos, ou cs scan --help para opções de scan, limites de custo e patching após um scan.

Para uma aplicação distribuída por vários repositórios, consulte review one system across repositories. Use bulk scans para revisões independentes de repositórios numa única campanha retomável.

Os scans utilizam a orientação existente de SECURITY.md na raiz e nos componentes. Para escrevê-la ou revê-la, consulte Generate SECURITY.md.

Alguns pedidos de cibersegurança e achados protegidos requerem Trusted Access for Cyber. Para contas com acesso Daybreak, consulte Daybreak opt-in para o toggle do Codex e Cyber access programs para selecionar um programa explicitamente.

TypeScript SDK

Instale o pacote localmente no seu projeto TypeScript:

npm install @openai/codex-security

Em seguida, importe-o:

import { CodexSecurity } from "@openai/codex-security";

const security = new CodexSecurity();

try {
  const result = await security.run("/path/to/repository");
  console.log(result.reportPath);
} finally {
  await security.close();
}

O guia do SDK inclui configuração de varredura profunda, validação, classificação de severidade, sugestões de responsáveis e tratamento de resultados.

Ler descobertas existentes do Cloud

Quando o Codex Security Cloud estiver disponível para sua conta, a skill $cloud-findings do plugin de Segurança pode ler descobertas, relatórios, atribuições e verificações registradas, e o status da varredura no Codex desktop ou no Codex CLI. O Cloud é uma conexão opcional; as varreduras locais funcionam sem ele.

Consulte Configuração da conexão com o Cloud e leituras via CLI para requisitos de autenticação e um exemplo somente leitura.

Gerar SECURITY.md

Use policy para redigir um novo SECURITY.md ou atualizar um existente. Use --path para selecionar um componente:

cs policy .
cs policy . --path services/api --knowledge-base architecture.md

O comando salva seu rascunho fora do repositório e deixa os arquivos existentes inalterados. Revise o diff e as notas, edite o rascunho e então copie apenas SECURITY.md para o Policy target exibido. Mantenha os documentos salvos de arquitetura e modelo de ameaças fora do repositório.

As varreduras já usam arquivos SECURITY.md na raiz e nos componentes. Mantenha sua política atual se ela não precisar de alterações. Ao atualizá-la, preserve suas instruções de relato de vulnerabilidades. Se o comando indicar que a política já está atualizada, nenhuma cópia é necessária.

Arquivos em .github/SECURITY.md ou docs/SECURITY.md frequentemente contêm instruções de relato. Preserve-as ao elaborar uma política; esses locais não fornecem automaticamente orientação de varredura para todo o repositório. Consulte o guia de políticas para locais de política, perguntas não respondidas, artefatos salvos e uso do SDK.

codex-security npm-v0.1.25