Codex Security

OpenAI 今天正式开源了 Codex Security CLI (@openai/codex-security)，这是一款旨在帮助开发者查找、验证和修复代码中安全漏洞的命令行工具及 TypeScript SDK。

在 AI 辅助编程日益普及的今天，代码生成的速度远超人工审查的能力。Codex Security 的出现，正是为了填补这一空白，将安全检查嵌入到开发流程的每一个环节。

核心能力：扫描、跟踪与验证

Codex Security 不仅仅是一个静态分析器。它提供了一套完整的安全工作流：

1. 扫描仓库：快速识别代码库中的潜在漏洞。
2. 跨运行跟踪：记录历史发现，避免重复报告已解决的问题，并监控新引入的风险。
3. 验证修复：确认补丁是否真正消除了漏洞，而不仅仅是掩盖了表面现象。
4. CI/CD 集成：轻松添加到持续集成流水线中，实现“代码提交即安检”。

快速上手：极简的三步走

对于本地开发环境，使用体验极其流畅：

# 1. 安装
npm install @openai/codex-security

# 2. 登录（支持 ChatGPT 账号或 API Key）
npx @openai/codex-security login

# 3. 扫描当前目录
npx @openai/codex-security scan .

灵活的认证机制：适配多种场景

Codex Security 充分考虑了不同用户的使用习惯：

• 交互式优先：如果同时检测到 ChatGPT 登录状态和 OPENAI_API_KEY，交互式扫描会询问你希望使用哪个凭证。
• CI/CD 友好：在非交互式环境（如 GitHub Actions）中，它会自动优先使用 OPENAI_API_KEY 环境变量。
• 强制指定：你可以通过 --auth chatgpt 或 --auth api-key 参数明确指定认证方式。
• 默认行为控制：如果你希望 ChatGPT 登录成为默认选项，只需取消设置相关的 API Key 环境变量即可。

TypeScript SDK：为开发者而生

除了 CLI，OpenAI 还提供了强大的 TypeScript SDK，方便将其集成到自定义工具或大型项目中：

import { CodexSecurity } from "@openai/codex-security";

const security = new CodexSecurity();
const result = await security.run(".");

console.log(result.reportPath); // 获取报告路径
await security.close();

注意事项

• 环境要求：需要 Node.js 22+ 和 Python 3.10+。
• 状态存储：扫描历史存储在本地状态目录中。如果遇到权限问题，可以通过设置 CODEX_SECURITY_STATE_DIR 环境变量指向一个可写目录。
• 访问权限：目前使用该工具需要拥有 Codex Security 的访问权限。