openai/codex-security

Codex Security – 人工智能驱动的代码安全扫描器

是什么

• 一个命令行工具和TypeScript SDK（@openai/codex-security），利用大语言模型（LLM）后端（OpenAI、Bedrock、OpenRouter、Fireworks）自动发现、验证和修复源代码中的安全漏洞。
• 专为开发者、安全团队和CI管道设计。可在本地、容器或作为GitHub Action运行。

核心功能

功能	作用
扫描	遍历仓库、选定路径或Git差异。深度模式运行并行发现工作者以实现全面覆盖。
验证和补丁生成	在报告发现后，工具可以要求模型确认问题、建议修复并生成可自动应用的补丁。
政策起草	生成SECURITY.md（安全政策）和威胁模型文档的草稿，保存在仓库外部以供提交前审查。
发现管理	存储扫描，去重结果，根据用户提供的评价标准对严重性进行排名，并根据代码所有权和Git历史建议所有者。
导出与集成	以SARIF、JSON或CSV格式导出结果；可导入GitHub代码扫描警报；可将发现发布到Linear或自定义发现服务。
自动化	支持通过Docker Compose、CI/CD（GitHub Actions）和容器沙盒运行进行批量扫描。环境变量（OPENAI_API_KEY / CODEX_API_KEY）控制身份验证。
多提供商支持	支持OpenAI模型（例如gpt-5.6-sol）、Amazon Bedrock、OpenRouter和Fireworks AI，使团队能够使用现有云凭据。

典型工作流程

1. 安装 – npm install -g @openai/codex-security（或使用npx）。
2. 登录 – cs login（或对于无头机器，使用设备认证/SSH转发）。
3. 创建/更新政策 – cs policy .创建草稿SECURITY.md，您审查后复制到仓库中。
4. 运行扫描 – cs scan .（或cs scan . --mode deep、--path src、--diff origin/main）。
5. 审查发现 – CLI显示重复项、严重性和建议所有者；您可以生成补丁或导出报告。
6. 集成 – 添加提供的GitHub Action或Docker Compose批量扫描设置，以按计划或在PR中运行。

安装和要求

• Node.js 22.x（或24/26）、Python 3.10及以上（Python需要tomli）。
• GitHub Action的可选沙盒依赖项：Ubuntu 24.04上的bubblewrap和apparmor。

TypeScript用法示例

import { CodexSecurity } from "@openai/codex-security";

const sec = new CodexSecurity();
try {
  const result = await sec.run("/path/to/repo");
  console.log("Report written to", result.reportPath);
} finally {
  await sec.close();
}

SDK镜像CLI：配置深度扫描选项、处理验证、严重性分类以及检索生成的报告。

文档和帮助

• 在线文档：https://learn.chatgpt.com/docs/security/cli
• CLI参考：sdk/typescript/docs/cli.md
• 项目配置指南、示例和提供商特定设置位于仓库中。

适用对象

• 希望在CI管道中不离开的情况下获得AI辅助静态安全分析的开发团队。
• 寻找自动化威胁模型生成和一致报告的安全工程师。
• 已经使用OpenAI或其他LLM提供商并需要利用这些模型进行代码安全的组织。

---

以上所有细节直接来自仓库的README；没有推断其他功能。