openai/codex-securityCLI и TypeScript SDK Codex Security от OpenAI для поиска, проверки и исправления уязвимостей безопасности. npm: https://www.npmjs.com/package/@openai/codex-security
Codex Security помогает находить, исследовать и исправлять уязвимости в вашем коде.
Используйте его рабочие процессы безопасности в Codex или автоматизируйте их с помощью
CLI @openai/codex-security и TypeScript SDK.
SECURITY.md и сохранение моделей угроз для последующего анализа.Откройте ваш репозиторий в сессии Codex с включённым плагином Codex Security, затем попросите:
Запусти сканирование Codex Security для этого репозитория, сосредоточившись на аутентификации и авторизации. Верни сохранённый отчёт, исходные доказательства и границы покрытия.
Завершённое сканирование сохраняет отчёт, находки, покрытие и модель угроз, когда она доступна. Используйте эти результаты для исследования находок, запроса патча или проверки существующего исправления. См. руководство по рабочим процессам агента для настройки плагина, выбора задач и восстановления, когда необходимые инструменты недоступны.
Требуется Node.js 22.13.0+ в пределах 22.x, или Node.js 24.x или 26.x, и Python 3.10+.
Python 3.10 также требует tomli.
Установите CLI глобально и войдите:
npm install --global @openai/codex-security
cs login
cs — короткий псевдоним для codex-security; обе команды запускают один и тот же CLI.
При установке обе команды создаются в глобальном каталоге исполняемых файлов npm,
который должен находиться в вашем PATH. Если cs уже указывает на другой инструмент, используйте
codex-security вместо него. Если npm завершается с ошибкой EEXIST для cs, используйте
npx @openai/codex-security без глобальной установки.
Запускайте сканирование из каталога репозитория:
cs scan .
Если у вас есть доступ к Daybreak Blue, добавьте --cyber-access-program daybreak_blue
в команду сканирования. В противном случае опустите флаг или используйте
--cyber-access-program standard.
Чтобы использовать переключатель Daybreak в Codex, передайте --codex daybreak=true. По умолчанию он отключён
и требует совместимого доступа. См. Конфигурация Daybreak
для использования в SDK и плагинах, включая воркеры Deep Scan.
Сканирования используют ваши существующие рекомендации из SECURITY.md. Чтобы определить или обновить их,
при необходимости составьте черновик политики:
cs policy .
Черновик сохраняется вне вашего репозитория. Просмотрите diff и заметки, отредактируйте черновик, затем скопируйте только SECURITY.md в указанную Целевую политику. Вы можете выполнить сканирование без генерации политики.
Чтобы запустить без глобальной установки, замените cs в этих примерах на npx @openai/codex-security, например:
npx @openai/codex-security scan .
Для CI задайте OPENAI_API_KEY или CODEX_API_KEY в окружении процесса сканирования.
На удалённых машинах или машинах без графического интерфейса используйте login --device-auth, если это позволяет ваше рабочее пространство,
или войдите по SSH.
Некоторые запросы в области кибербезопасности и защищённые результаты требуют одобрения Trusted Access for Cyber.
Выберите область и режим сканирования:
# Scan selected paths.
cs scan . --path src --path tests
# Scan committed changes from a base revision to HEAD.
cs scan . --diff origin/main
# Run a deep scan of the repository.
cs scan . --mode deep
Используйте cs scan . --max-time 15, чтобы задать рекомендуемый лимит времени в 15 минут для стандартного исследования. См. время исследования для семантики времени и ограничений Deep Scan.
Используйте cs --help для просмотра команд или cs scan --help
для параметров сканирования, ограничений стоимости и патчинга после сканирования.
Для приложения, распределённого по нескольким репозиториям, см. обзор одной системы в нескольких репозиториях. Используйте массовые сканирования для независимых проверок репозиториев в рамках одной возобновляемой кампании.
После сканирования изучите его область и последующие действия, чтобы понять зафиксированные исключения и решить, следует ли просмотреть результаты, запустить целевое сканирование или восстановить прерванный запуск.
Установите пакет локально в вашем проекте TypeScript:
npm install @openai/codex-security
Затем импортируйте его:
import { CodexSecurity } from "@openai/codex-security";
const security = new CodexSecurity();
try {
const result = await security.run("/path/to/repository");
console.log(result.reportPath);
} finally {
await security.close();
}
Руководство по SDK включает настройку глубокого сканирования, валидацию, классификацию серьёзности, предложения по владельцам и обработку результатов.
Когда Codex Security Cloud доступен для вашей учётной записи, навык $cloud-findings плагина Security может читать находки, отчёты, записанные назначения и верификацию, а также статус сканирования в Codex desktop или Codex CLI. Cloud — это необязательное подключение; локальные сканирования работают без него.
См. Настройка подключения к Cloud и чтение через CLI для требований к аутентификации и примера только для чтения.
Используйте policy, чтобы составить новый SECURITY.md или обновить существующий. Используйте --path, чтобы выбрать компонент:
cs policy .
cs policy . --path services/api --knowledge-base architecture.md
Команда сохраняет черновик вне репозитория и оставляет существующие файлы
без изменений. Просмотрите diff и заметки, отредактируйте черновик, затем скопируйте только SECURITY.md
в отображаемую целевую политику. Храните сохранённые документы архитектуры и модели угроз
вне репозитория.
Сканирования уже используют корневые и компонентные файлы SECURITY.md. Оставьте текущую политику
без изменений, если она не требует правок. При обновлении сохраните её инструкции
по сообщению об уязвимостях. Если команда сообщает, что политика уже актуальна, копирование
не требуется.