Codex Security

@openai/codex-security 是一个用于查找、验证和修复代码中安全漏洞的 CLI 和 TypeScript SDK。

👉👉 完整文档请参阅 Codex Security 文档。

某些网络安全请求和受保护的发现结果需要通过 Trusted Access for Cyber 进行审批。要加入该计划，请访问 chatgpt.com/cyber。

快速开始

需要 Node.js 22.13.0 或更高版本，以及 Python 3.10 或更高版本。

npm install @openai/codex-security
codex-security login
codex-security scan /path/to/directory

对于 CI，请设置 OPENAI_API_KEY 而不是登录。

TypeScript SDK

Codex Security 是一个 JavaScript 包：

import { CodexSecurity } from "@openai/codex-security";

const security = new CodexSecurity();
const result = await security.run("/path/to/directory");
await security.run("/path/to/directory", {
  mode: "deep",
  workers: 2,
  subagents: 0,
  stopAfterNoNew: 3,
  maxDiscoveryRuns: 10,
  maxTimeHours: 1.5,
});

console.log(result.reportPath);
await security.close();

容器化批量扫描

使用附带的 Docker Compose 配置对多个仓库进行扫描。更多详情请参阅容器快速开始。

对于需要持久状态并访问单独部署的发现服务的单个 CLI 阶段，请使用相同的扫描器镜像配合工作流运行器 Compose 示例。

发现服务（预览）

运行 codex-security serve 以在无 Docker 的情况下启动服务。请参阅无 Docker 运行了解先决条件、凭据和存储配置。

发现服务从与扫描器相同的 ghcr.io/openai/codex-security 镜像运行（或本地源码构建），并使用由 compose.findings.yaml 配置的独立容器和状态卷。它将发现结果和嵌入存储在 SQLite 中，并以分页方式列出发现结果。其位于 /dashboard 的只读仪表板每五秒刷新一次，显示服务数据库中存储的发现结果和重复分组。它还通过嵌入相似性返回仓库内或显式全仓库范围内的潜在重复项。codex-security publish scan --to custom --findings-url http://localhost:3000 命令上传已完成的发现结果及其仓库 ID。SDK 和 codex-security dedupe 命令检索候选结果，在本地运行独立的 Codex 审查，并持久化已接受的重复分组；--all-repositories 可选择更广泛的范围。

其他提供商

要使用其他推理提供商，请设置其 API 密钥并选择模型：

export AWS_BEARER_TOKEN_BEDROCK="<your-bedrock-api-key>"
export AWS_REGION="us-east-2"
codex-security scan . --provider amazon-bedrock --model openai.gpt-5.6-luna

export OPENROUTER_API_KEY="<your-openrouter-api-key>"
codex-security scan . --provider openrouter --model anthropic/claude-sonnet-4.5

export FIREWORKS_API_KEY="<your-fireworks-api-key>"
codex-security scan . --provider fireworks --model accounts/fireworks/models/qwen3-235b-a22b

文档

👉👉 完整文档请参阅 Codex Security 文档。

codex-security npm-v0.1.25

分类