OpenAI, Codex Security를 오픈소스로 공개
Codex Security:
@openai/codex-security는 코드의 보안 취약점을 탐지·검증·수정하는 CLI 및 TypeScript SDK로, 저장소 스캔, 변경 사항 검토, 발견 항목 추적, CI 보안 검사에 사용 가능실행 조건: Node.js 22 이상, Python 3.10 이상, Codex Security 접근 권한 필요
npm install @openai/codex-security
npx codex-security login
npx codex-security scan.인증 방식: CI에서는 로그인 대신
OPENAI_API_KEY설정 필요ChatGPT 로그인과 API 키가 모두 있으면 대화형 스캔에서 사용할 자격 증명을 선택함
CI 등 비대화형 스캔에서는 기존처럼 API 키가 우선되며, 필요하면 자격 증명을 명시적으로 지정 가능
npx codex-security scan. --auth chatgpt
npx codex-security scan. --auth api-keyChatGPT 로그인을 자동 기본값으로 사용하려면 설정된 API 키를 모두 해제해야 함
unset OPENAI_API_KEY CODEX_API_KEY상태 저장: 스캔 기록은 Codex Security workbench 상태 디렉터리에 보관됨
해당 디렉터리에 쓸 수 없으면
CODEX_SECURITY_STATE_DIR을 저장소 외부의 쓰기 가능한 디렉터리로 지정 필요
TypeScript SDK
import { CodexSecurity } from "@openai/codex-security";
const security = new CodexSecurity();
const result = await security.run(".");
console.log(result.reportPath);
await security.close();설치, 인증, 스캔 옵션, CI 설정은 공식 문서에서 확인 가능
source https://github.com/openai/codex-security
HN에서는 Codex Security를 기존 모델의 단순한 포장으로 볼지, 팀의 보안 검토를 운영하는 도구로 볼지를 두고 시각이 갈렸다. 핵심 가치는 스캐너 자체보다 여러 저장소의 검사 이력을 쌓고, 중복 결과와 오탐을 관리하며, 비용 제한과 CI 판정까지 한 체계에서 다루는 데 있다는 평가가 설득력을 얻었다. 함께 공개된 보안 스킬과 프롬프트를 다른 업무에 응용할 수 있다는 점도 관심을 끌었다.
다만 초기 버전의 사용성은 실무 투입에 걸림돌이 될 만했다. 작은 저장소를 50분 넘게 검사한 뒤 HEAD가 바뀌었다는 이유로 저장에 실패하거나, 요금과 사용 한도를 크게 소모한 뒤 중단된 사례가 나왔다. 실행 중 비용과 진행률을 파악하기 어렵고, 보존했다는 부분 결과도 이어서 사용할 수 없었다. 개발진 역시 재시도와 재개, 진행 표시, 변경 중인 체크아웃 처리를 개선해야 한다고 인정했다.
기업에서는 코드 처리 방식부터 확인해야 한다. CLI는 로컬에서 실행하지만 분석에 필요한 코드와 맥락은 OpenAI의 호스팅 모델로 보낸다. 소스 코드의 외부 전송을 금지한 조직이라면 사용할 수 없다. 공개 프로젝트나 본인 패치를 검사하더라도 모델의 보안 제한 때문에 취약점을 발견하고도 설명하지 않을 수 있다. 저장소 소유 여부보다 계정에 적용된 접근 정책이 실제 활용 범위를 좌우하는 셈이다.
도입 판단에는 탐지 성능만으로 부족하다. 여러 저장소의 결과를 장기간 관리할 필요가 있는지, 비용 상한과 실패 복구를 통제할 수 있는지, 조직의 코드 반출 정책과 모델 제한을 감수할 수 있는지를 함께 따져야 한다. 지금 단계의 Codex Security는 완성된 범용 스캐너라기보다 보안 검토를 반복 가능한 팀 업무로 정착시키기 위한 기반에 가깝다.
