openai/codex-security

Codex Security – AIによるコードセキュリティスキャナー

概要

• コマンドラインツールおよびTypeScript SDK（@openai/codex-security）で、大規模言語モデル（LLM）バックエンド（OpenAI、Bedrock、OpenRouter、Fireworks）を使用して、ソースコード内のセキュリティ脆弱性を自動的に発見、検証、修正します。
• 開発者、セキュリティチーム、CIパイプライン向けに設計されています。ローカル、コンテナ内、またはGitHub Actionとして実行できます。

主要機能

機能	説明
スキャン	リポジトリ、選択したパス、またはGit diffを走査します。ディープモードでは、並列ディスカバリーワーカーを実行して徹底的なカバレッジを実現します。
検証とパッチ生成	検出結果が報告された後、ツールはモデルに問題の確認、修正の提案、自動適用可能なパッチの生成を依頼できます。
ポリシー作成	ドラフトのSECURITY.md（セキュリティポリシー）と脅威モデル文書を生成し、コミット前にレビュー用にリポジトリ外に保存します。
検出結果管理	スキャンを保存し、結果の重複を排除し、ユーザー提供のルーブリックに基づいて重大度をランク付けし、コード所有権とGit履歴に基づいて所有者を提案します。
エクスポートと統合	結果をSARIF、JSON、またはCSVとしてエクスポートします。GitHubのコードスキャンアラートをインポートできます。フィンディングをLinearまたはカスタムフィンディングサービスに公開できます。
自動化	Docker Compose、CI/CD（GitHub Actions）、およびコンテナサンドボックス実行を介したバルクスキャンをサポートします。環境変数（OPENAI_API_KEY / CODEX_API_KEY）が認証を制御します。
マルチプロバイダーサポート	OpenAIモデル（例：gpt-5.6-sol）、Amazon Bedrock、OpenRouter、Fireworks AIで動作し、チームは既存のクラウド認証情報を使用できます。

一般的なワークフロー

1. インストール – npm install -g @openai/codex-security（またはnpxを使用）。
2. ログイン – cs login（またはヘッドレスマシン用のデバイス認証/SSH転送）。
3. ポリシーの作成/更新 – cs policy .でドラフトSECURITY.mdを作成し、レビュー後リポジトリにコピーします。
4. スキャンの実行 – cs scan .（またはcs scan . --mode deep、--path src、--diff origin/main）。
5. フィンディングのレビュー – CLIは重複、重大度、推奨所有者を表示します。パッチを生成したり、レポートをエクスポートしたりできます。
6. 統合 – 提供されたGitHub ActionまたはDocker Composeバルクスキャンセットアップを追加して、スケジュールまたはPRで実行します。

インストールと要件

• Node.js 22.x（または24/26）、Python 3.10以上（Pythonにはtomliが必要）。
• GitHub Action用のオプションのサンドボックス依存関係：Ubuntu 24.04のbubblewrapとapparmor。

TypeScriptの使用例

import { CodexSecurity } from "@openai/codex-security";

const sec = new CodexSecurity();
try {
  const result = await sec.run("/path/to/repo");
  console.log("Report written to", result.reportPath);
} finally {
  await sec.close();
}

SDKはCLIと同様です。ディープスキャンオプションの構成、検証の処理、重大度分類、生成されたレポートの取得が可能です。

ドキュメントとサポート

• オンラインドキュメント：https://learn.chatgpt.com/docs/security/cli
• CLIリファレンス：sdk/typescript/docs/cli.md
• プロジェクト構成ガイド、例、プロバイダー固有のセットアップはリポジトリにあります。

対象ユーザー

• CIパイプラインを離れることなくAI支援の静的セキュリティ分析を希望する開発チーム。
• 自動化された脅威モデル生成と一貫したレポートを求めるセキュリティエンジニア。
• OpenAIまたは他のLLMプロバイダーを既に使用しており、これらのモデルをコードセキュリティに活用する方法を必要とする組織。

---

上記の詳細はすべてリポジトリのREADMEから直接取得したものであり、追加の機能は推測されていません。