OpenAI 开源 Codex Security CLI：让代码漏洞在 CI 流水线中无所遁形

在软件开发的快节奏中，安全审查往往容易成为拖慢进度的“绊脚石”，或者在人工抽查的盲区中被悄然忽略。为了彻底扭转这一局面，OpenAI 在 7 月 29 日正式开源了一款名为 Codex Security CLI 的命令行工具。它的目标非常纯粹：将安全扫描无缝嵌入开发者的日常工作流，让代码漏洞在持续集成（CI）阶段就自动现形。

提前曝光的“安全放大镜”

有趣的是，这款工具在正式亮相前，就已被敏锐的开发者从代码库的角落里挖掘了出来。OpenAI 坦言，目前推出的仍是一个早期版本，未来将根据社区的真实反馈持续打磨。

尽管处于早期阶段，它已经展现出了极高的实用价值。Codex Security CLI 不仅提供了一个纯粹的命令行界面，还配套了一套 TypeScript SDK。这意味着开发者既可以在终端中快速扫描仓库、审查代码变更、跨运行周期追踪安全问题，也能通过代码直接调用，精准验证漏洞是否已被彻底修复。

让安全检查在 CI/CD 中“自动巡航”

将 Codex Security CLI 接入 CI/CD 流水线是其最核心的应用场景。一旦完成集成，软件项目将在每次构建时自动触发安全检测，将潜在风险死死拦截在代码合入主干之前。这种将安全检查自动化的策略，极大地降低了后期修复漏洞的成本，让持续交付真正做到了“既快又稳”。

极简上手：从安装到扫描只需几步

对于开发者而言，这款工具的上手门槛极低。只需通过 npm 安装 @openai/codex-security 包，使用 npx 命令即可查看详细的帮助文档。核心操作仅需两步：先执行 login 登录，再执行 scan 扫描当前目录，整个代码仓库的安全底细便会一目了然。

不过，在启动扫描前，请确保你的开发环境满足以下“硬指标”：
– Node.js 22 或更高版本
– Python 3.10 或更高版本
– 具备 Codex Security 的访问权限

在身份认证方面，工具提供了极大的灵活性。本地开发时，你可以选择 ChatGPT 账号登录或 API 密钥两种方式，通过参数即可轻松切换；而在 CI 无人值守环境中，只需配置 OPENAI_API_KEY 环境变量，系统便会自动完成身份核验，无需任何人工干预。

进阶玩法：SDK 调用与自定义配置

对于需要将安全扫描深度集成到自有工具链的团队，官方提供的 TypeScript SDK 是一大福音。在 TypeScript 项目中直接调用 SDK，扫描完成后即可直接获取报告路径，方便进行自动化的二次处理与数据流转。

此外，工具默认会将扫描状态和历史记录存储在 Codex Security 的工作目录中。如果遇到权限问题导致默认路径不可写，开发者只需通过设置 CODEX_SECURITY_STATE_DIR 环境变量，即可轻松指定其他可写目录，确保扫描流程不被中断。

安全防线正在悄悄前移

目前，Codex Security CLI 的完整代码已托管在 GitHub 的 openai/codex-security 仓库，向所有致力于提升代码质量的开发者敞开大门。

当繁琐的人工安全抽查转变为命令行里轻巧的一行指令，我们看到的不仅是一个新工具的诞生，更是软件供应链安全防线向开发最前端的一次重要推进。安全左移，正在从一句口号变成每一行代码的默认习惯。