openai/codex-securityCLI Codex Security da OpenAI e SDK TypeScript para encontrar, validar e corrigir vulnerabilidades de segurança. npm: https://www.npmjs.com/package/@openai/codex-security
O Codex Security ajuda você a encontrar, investigar e corrigir vulnerabilidades no seu código.
Use seus fluxos de trabalho de segurança no Codex, ou automatize-os com a
CLI @openai/codex-security e o SDK TypeScript.
SECURITY.md e salve modelos de ameaça para revisão posterior.Abra seu repositório em uma sessão do Codex com o plugin Codex Security habilitado, depois peça:
Execute um escaneamento do Codex Security neste repositório, com foco em autenticação e autorização. Retorne o relatório salvo, as evidências de origem e os limites de cobertura.
Um escaneamento concluído salva um relatório, descobertas, cobertura e um modelo de ameaça quando disponível. Use esses resultados para investigar descobertas, solicitar um patch ou verificar uma correção existente. Consulte o guia de fluxo de trabalho do agente para configuração do plugin, seleção de tarefas e recuperação quando ferramentas necessárias não estiverem disponíveis.
Requer Node.js 22.13.0+ dentro da série 22.x, ou Node.js 24.x ou 26.x, e Python 3.10+.
Python 3.10 também requer tomli.
Instale a CLI globalmente e faça login:
npm install --global @openai/codex-security
cs login
cs é um alias curto para codex-security; ambos os comandos executam a mesma CLI.
A instalação cria ambos os comandos no diretório global de executáveis do npm,
que deve estar no seu PATH. Se cs já estiver associado a outra ferramenta, use
codex-security em vez disso. Se o npm parar com um erro EEXIST para cs, use
npx @openai/codex-security sem uma instalação global.
Execute sua varredura a partir do diretório do repositório:
cs scan .
Se você tiver acesso ao Daybreak Blue, adicione --cyber-access-program daybreak_blue
ao comando de scan. Caso contrário, omita a flag ou use
--cyber-access-program standard.
Para usar o toggle Daybreak do Codex, passe --codex daybreak=true. Ele vem desativado
por padrão e requer acesso compatível. Consulte Configuração do Daybreak
para uso com SDK e plugins, incluindo workers de Deep Scan.
Os scans usam sua orientação existente do SECURITY.md. Para definir ou atualizar isso,
opcionalmente elabore uma política:
cs policy .
O rascunho é salvo fora do seu repositório. Revise o diff e as notas, edite o
rascunho e então copie apenas SECURITY.md para o Policy target indicado. Você pode escanear
sem gerar uma política.
Para executar sem uma instalação global, substitua cs nestes exemplos por
npx @openai/codex-security, por exemplo:
npx @openai/codex-security scan .
Para CI, defina OPENAI_API_KEY ou CODEX_API_KEY no ambiente do processo de scan.
Em máquinas remotas ou headless, use login --device-auth se o seu workspace
permitir, ou faça login via SSH.
Algumas solicitações de cibersegurança e descobertas protegidas exigem aprovação do Trusted Access for Cyber.
Escolha um escopo e um modo de scan:
# Scan selected paths.
cs scan . --path src --path tests
# Scan committed changes from a base revision to HEAD.
cs scan . --diff origin/main
# Run a deep scan of the repository.
cs scan . --mode deep
Use cs scan . --max-time 15 para uma investigação Standard com limite indicativo de 15 minutos. Consulte investigation time para a semântica de temporização e os limites do Deep Scan.
Use cs --help para navegar pelos comandos, ou cs scan --help para opções de scan, limites de custo e patching após um scan.
Para uma aplicação distribuída por vários repositórios, consulte review one system across repositories. Use bulk scans para revisões independentes de repositórios numa única campanha retomável.
Após um scan, inspect its scope and follow-up work para compreender as exclusões registadas e decidir se deve rever os achados, executar um scan focado ou recuperar uma execução interrompida.
Instale o pacote localmente no seu projeto TypeScript:
npm install @openai/codex-security
Em seguida, importe-o:
import { CodexSecurity } from "@openai/codex-security";
const security = new CodexSecurity();
try {
const result = await security.run("/path/to/repository");
console.log(result.reportPath);
} finally {
await security.close();
}
O guia do SDK inclui configuração de varredura profunda, validação, classificação de severidade, sugestões de responsáveis e tratamento de resultados.
Quando o Codex Security Cloud estiver disponível para sua conta, a skill $cloud-findings do plugin de Segurança pode ler descobertas, relatórios, atribuições e verificações registradas, e o status da varredura no Codex desktop ou no Codex CLI. O Cloud é uma conexão opcional; as varreduras locais funcionam sem ele.
Consulte Configuração da conexão com o Cloud e leituras via CLI para requisitos de autenticação e um exemplo somente leitura.
Use policy para redigir um novo SECURITY.md ou atualizar um existente. Use --path para selecionar um componente:
cs policy .
cs policy . --path services/api --knowledge-base architecture.md
O comando salva seu rascunho fora do repositório e deixa os arquivos existentes
inalterados. Revise o diff e as notas, edite o rascunho e então copie apenas SECURITY.md
para o Policy target exibido. Mantenha os documentos salvos de arquitetura e modelo de ameaças
fora do repositório.
As varreduras já usam arquivos SECURITY.md na raiz e nos componentes. Mantenha sua política atual
se ela não precisar de alterações. Ao atualizá-la, preserve suas instruções de
relato de vulnerabilidades. Se o comando indicar que a política já está atualizada, nenhuma cópia é
necessária.