Codex Security

Codex Security помогает находить, исследовать и исправлять уязвимости в вашем коде. Используйте его рабочие процессы безопасности в Codex или автоматизируйте их с помощью CLI @openai/codex-security и TypeScript SDK.

В Codex: выберите рабочий процесс безопасности.
В терминале: установите CLI и просканируйте свой репозиторий.
В автоматизации: используйте TypeScript SDK или GitHub Action.

Возможности

Сканирование репозиториев, выбранных путей или изменений Git. Глубокие сканирования повторяют стандартные сканирования и возвращают их дедуплицированные находки.
Проверка кандидатных находок, генерация патчей и проверка существующих исправлений.
Создание черновиков политик SECURITY.md и сохранение моделей угроз для последующего анализа.
Просмотр сохранённых сканирований и находок, выявление дубликатов, оценка серьёзности по вашей собственной методике и предложение ответственных на основе исходного кода и истории Git.
Предварительный просмотр находок сторонних сканеров, их локальное сохранение или публикация поддерживаемых отчётов в Codex Security Cloud. Руководства по импорту сканеров.
Отслеживание находок в Linear, Jira или GitHub, публикация завершённых сканирований или экспорт в SARIF, JSON и CSV. Рабочие процессы интеграции.
Автоматизация сканирований по репозиториям или компонентам проекта, в том числе в CI и контейнерах.

Использование в Codex

Откройте свой репозиторий в сессии Codex с включённым плагином Codex Security, затем попросите:

Запусти сканирование Codex Security для этого репозитория, сосредоточившись на аутентификации и авторизации. Верни сохранённый отчёт, исходные доказательства и ограничения покрытия.

Завершённое сканирование сохраняет отчёт и находки. Прочитайте отчёт, чтобы увидеть исходные доказательства и исключения, затем запросите патч или попросите Codex проверить существующее исправление. См. руководство по рабочим процессам агента для настройки, выбора задач и восстановления.

Быстрый старт

Требуется Node.js 22.13.0+ в пределах 22.x, или Node.js 24.x или 26.x, и Python 3.10+. Python 3.10 также требует tomli.

Установите CLI глобально и войдите в систему:

npm install --global @openai/codex-security
cs login

Запустите первое сканирование из каталога репозитория:

cs scan .

Когда сканирование завершится, откройте Markdown-файл по пути REPORT в терминале. Выполните cs scans show из того же репозитория, чтобы снова найти его последнее завершённое сканирование. См. область сканирования и последующие действия, чтобы понять, как интерпретировать исключения в отчёте.

cs и codex-security запускают один и тот же CLI. Если короткое имя конфликтует с другой командой, используйте codex-security. Чтобы пропустить глобальную установку или если npm сообщает о конфликте EEXIST, используйте npx @openai/codex-security вместо cs как для входа, так и для сканирования.

Для CI задайте OPENAI_API_KEY или CODEX_API_KEY в окружении процесса сканирования. Для машины без графического интерфейса см. вход через устройство или SSH.

Параметры сканирования

Выберите область и режим сканирования:

# Scan selected paths.
cs scan . --path src --path tests

# Scan committed changes from a base revision to HEAD.
cs scan . --diff origin/main

# Run a deep scan of the repository.
cs scan . --mode deep

Используйте cs scan . --max-time 15, чтобы задать рекомендуемый лимит времени в 15 минут для стандартного исследования. О том, как работает учёт времени и каковы ограничения Deep Scan, см. в разделе investigation time.

Используйте cs --help, чтобы просмотреть команды, или cs scan --help, чтобы узнать о параметрах сканирования, ограничениях стоимости и патчинге после сканирования.

Если приложение распределено по нескольким репозиториям, см. review one system across repositories. Используйте bulk scans для независимых проверок репозиториев в рамках одной возобновляемой кампании.

При сканировании учитываются существующие указания из корневого и компонентных файлов SECURITY.md. Чтобы написать или пересмотреть его, см. Generate SECURITY.md.

Некоторые запросы в области кибербезопасности и защищённые находки требуют Trusted Access for Cyber. Для аккаунтов с доступом Daybreak см. Daybreak opt-in — о переключателе Codex, и Cyber access programs — чтобы явно выбрать программу.

TypeScript SDK

Установите пакет локально в вашем проекте на TypeScript:

npm install @openai/codex-security

Затем импортируйте его:

import { CodexSecurity } from "@openai/codex-security";

const security = new CodexSecurity();

try {
  const result = await security.run("/path/to/repository");
  console.log(result.reportPath);
} finally {
  await security.close();
}

Руководство по SDK включает настройку глубокого сканирования, валидацию, классификацию серьёзности, предложения по владельцам и обработку результатов.

Чтение существующих находок Cloud

Когда Codex Security Cloud доступен для вашей учётной записи, навык $cloud-findings плагина Security может читать находки, отчёты, записанные назначения и верификацию, а также статус сканирования в Codex desktop или Codex CLI. Cloud — это необязательное подключение; локальные сканирования работают без него.

См. Настройка подключения к Cloud и чтение через CLI для требований к аутентификации и примера только для чтения.

Создание SECURITY.md

Используйте policy, чтобы составить новый SECURITY.md или обновить существующий. Используйте --path, чтобы выбрать компонент:

cs policy .
cs policy . --path services/api --knowledge-base architecture.md

Команда сохраняет черновик вне репозитория и оставляет существующие файлы без изменений. Просмотрите diff и заметки, отредактируйте черновик, затем скопируйте только SECURITY.md в отображаемую целевую политику. Храните сохранённые документы архитектуры и модели угроз вне репозитория.

Сканирования уже используют корневые и компонентные файлы SECURITY.md. Оставьте текущую политику без изменений, если она не требует правок. При обновлении сохраните её инструкции по сообщению об уязвимостях. Если команда сообщает, что политика уже актуальна, копирование не требуется.

codex-security npm-v0.1.25