openai/codex-security

Codex Security – AI 기반 코드 보안 스캐너

개요

• 명령줄 도구 및 TypeScript SDK(@openai/codex-security)로, 대규모 언어 모델(LLM) 백엔드(OpenAI, Bedrock, OpenRouter, Fireworks)를 사용하여 소스 코드의 보안 취약점을 자동으로 발견, 검증, 수정합니다.
• 개발자, 보안 팀, CI 파이프라인을 위해 설계되었습니다. 로컬, 컨테이너 또는 GitHub Action으로 실행할 수 있습니다.

핵심 기능

기능	설명
스캔	저장소, 선택된 경로 또는 Git diff를 탐색합니다. 딥 모드는 병렬 검색 워커를 실행하여 철저한 커버리지를 제공합니다.
검증 및 패치 생성	발견 사항이 보고된 후, 도구는 모델에 문제 확인, 수정 제안, 자동 적용 가능한 패치 생성을 요청할 수 있습니다.
정책 작성	SECURITY.md(보안 정책) 및 위협 모델 문서의 초안을 생성하고, 커밋 전 검토를 위해 저장소 외부에 저장합니다.
발견 사항 관리	스캔을 저장하고, 결과 중복을 제거하고, 사용자 제공 루브릭에 따라 심각도를 순위화하고, 코드 소유권 및 Git 기록을 기반으로 소유자를 제안합니다.
내보내기 및 통합	결과를 SARIF, JSON 또는 CSV로 내보냅니다. GitHub 코드 스캔 경고를 가져올 수 있습니다. 발견 사항을 Linear 또는 사용자 지정 발견 서비스에 게시할 수 있습니다.
자동화	Docker Compose, CI/CD(GitHub Actions) 및 컨테이너 샌드박스 실행을 통한 대량 스캔을 지원합니다. 환경 변수(OPENAI_API_KEY / CODEX_API_KEY)가 인증을 제어합니다.
멀티 프로바이더 지원	OpenAI 모델(예: gpt-5.6-sol), Amazon Bedrock, OpenRouter, Fireworks AI에서 작동하여 팀이 기존 클라우드 자격 증명을 사용할 수 있습니다.

일반적인 워크플로

1. 설치 – npm install -g @openai/codex-security(npx 사용 가능).
2. 로그인 – cs login(헤드리스 머신용 디바이스 인증/SSH 전달 포함).
3. 정책 생성/업데이트 – cs policy .는 검토 후 저장소에 복사할 초안 SECURITY.md를 생성합니다.
4. 스캔 실행 – cs scan .(또는 cs scan . --mode deep, --path src, --diff origin/main).
5. 발견 사항 검토 – CLI는 중복, 심각도, 제안된 소유자를 표시합니다. 패치를 생성하거나 보고서를 내보낼 수 있습니다.
6. 통합 – 제공된 GitHub Action 또는 Docker Compose 대량 스캔 설정을 추가하여 예약 또는 PR에서 실행합니다.

설치 및 요구 사항

• Node.js 22.x(또는 24/26), Python 3.10 이상(Python에는 tomli 필요).
• GitHub Action용 선택적 샌드박스 종속성: Ubuntu 24.04의 bubblewrap 및 apparmor.

TypeScript 사용 예

import { CodexSecurity } from "@openai/codex-security";

const sec = new CodexSecurity();
try {
  const result = await sec.run("/path/to/repo");
  console.log("Report written to", result.reportPath);
} finally {
  await sec.close();
}

SDK는 CLI를 미러링합니다: 딥 스캔 옵션 구성, 검증 처리, 심각도 분류, 생성된 보고서 검색이 가능합니다.

문서 및 도움말

• 온라인 문서: https://learn.chatgpt.com/docs/security/cli
• CLI 참조: sdk/typescript/docs/cli.md
• 프로젝트 구성 가이드, 예제, 프로바이더별 설정은 저장소에 있습니다.

대상 사용자

• CI 파이프라인을 떠나지 않고 AI 지원 정적 보안 분석을 원하는 개발 팀.
• 자동화된 위협 모델 생성과 일관된 보고를 찾는 보안 엔지니어.
• OpenAI 또는 다른 LLM 프로바이더를 이미 사용하고 있으며 코드 보안에 이러한 모델을 활용할 방법이 필요한 조직.

---

위의 모든 세부 사항은 저장소의 README에서 직접 가져온 것이며 추가 기능은 추론되지 않습니다.