OpenAI 开源 Codex Security CLI:结合 AI 的代码安全扫描工具

近日，OpenAI 发布了开源项目 Codex Security CLI（@openai/codex-security）。在该工具尚未大规模宣传前，社区开发者已在 Hacker News 上展开热烈讨论。

这是一个结合 OpenAI Codex 安全能力的 AI 驱动安全扫描命令行工具与 TypeScript SDK。它打破了过去依靠对话式询问寻找漏洞的模式，为开发者与 DevSecOps 团队提供了一套可自动运行、可跨版本跟踪与流水线集成的安全检测方案。

一、 核心功能特性

Codex Security CLI 的核心设计围绕实际工程场景展开，主要包含以下能力：

• 灵活的扫描模式：支持对本地或远程仓库进行全量扫描、指定目录扫描、针对 Git Diff 的代码变更增量扫描，以及 Deep 模式深层扫描。
• 问题跟踪与验证：跨多次运行跟踪漏洞历史，对比修复前后差异，验证漏洞是否真正解决，并支持对误报结果进行人工标注。
• CI/CD 与预提交集成：可一键安装 Git pre-commit 钩子在本地拦截高危代码，流水线中支持通过 --fail-on-severity 按严重程度设置构建中断规则，并可导出 SARIF、JSON、CSV 和 Markdown 报告。
• 批量与组织级审计：提供 bulk-scan 命令，支持按 GitHub 组织或 CSV 导入仓库列表进行多仓库批量扫描。
• 架构上下文增强：支持传入架构设计、威胁模型和安全策略文档作为补充上下文，进一步提高漏洞判定的精准度。
• 成本上限控制：支持使用 --max-cost 参数控制单次扫描的 Token 消费预算，避免费用超支。

二、 技术特点与社区反馈

1. 从对话问答走向工程自动化
   工具生成结构化的 findings.json、coverage.json 以及直观的 report.md，支持历史扫描记录管理，便于安全团队进行长期的漏洞演进分析。

2. 开发环境与认证兼容
   基于 Apache-2.0 协议开源。运行环境要求 Node.js 22+ 与 Python 3.10+，支持使用 OPENAI_API_KEY 环境变量、设备认证或现有 ChatGPT 账户登录，同时官方提供了 Docker 镜像与 SDK 支持。

3. 社区实际反馈
   Hacker News 的早期讨论肯定了其面向组织级审计与漏洞历史追踪的设计理念。同时社区也指出，目前在超大仓库扫描耗时、Token 消耗量以及进度显示上仍存在优化空间。

   OpenAI 团队在讨论区回应称该项目处于 Early Release 阶段，后续将结合社区反馈持续改进。

三、 常用命令示例

# 登录认证
npx codex-security login

# 扫描当前目录
npx codex-security scan .

# 指定输出目录并设定最高花费上限（例如 5 美元）
npx codex-security scan . --output-dir ./security-results --max-cost 5

# 针对 main 分支的代码变更进行差异扫描
npx codex-security scan . --diff origin/main

# 批量扫描模式
npx codex-security bulk-scan

随着 AI 辅助编程的普及，生成代码的安全漏洞隐患也日益突出。Codex Security CLI 的开源，补齐了“AI 代码生成 → AI 自动化安全审计”的关键一环。

尽管早期版本在扫描成本与效率上尚待调优，但其工程化的架构与 CI/CD 契合度，为团队引入 AI 驱动的安全防护提供了务实的选择。