OpenAIが「Codex Security」をオープンソース化：脆弱性スキャンから修正パッチ生成まで自動化

Codex Securityは、OpenAIがオープンソースとして公開したコードセキュリティ分析ツールです。CLIとTypeScript SDKが提供されており、コード内の脆弱性の発見、トリアージ、さらには自動修正パッチの生成まで対応します。

ツール自体は無料で完全にオープンソースですが、解析には高度な推論モデルを利用します。デフォルト設定ではgpt-5.6-solを高推論設定で呼び出すため、スキャンを実行するにはOpenAIのAPIキーを設定するか、アカウントでログインして推論コストを支払う必要があります。

何ができるか

従来の静的コード解析ツールは大量の誤検知を出しがちで、エンジニアが手動で確認する負担が大きいのが課題でした。Codex Securityはその検出から検証、パッチ適用までのサイクルをAIで完結させることを目指しています。

スキャン範囲は柔軟に指定できます。リポジトリ全体を並列ワーカーで深く精査するモードだけでなく、--pathで特定ディレクトリを絞り込んだり、--diffでGitのコミット差分のみをチェックしたりすることが可能です。

疑わしい脆弱性を検出した場合、それが本当に悪用可能なものかをAIが二次検証します。さらに、問題が確定したコードに対しては、修正用のコードパッチを直接出力させることもできます。

脆弱性の検出にとどまらず、SECURITY.mdのドラフト作成や脅威モデルの書き出しにも対応します。結果はSARIF、JSON、CSVでエクスポートでき、GitHubのセキュリティアラートやLinearなどのタスク管理ツールへシームレスに連携できます。

セットアップと実行

動作環境として、Node.js 22.13.0以降、およびPython 3.10以降が必要です。Python 3.10環境ではtomliパッケージの追加インストールが求められます。

導入はnpmから@openai/codex-securityをグローバルインストールするのが最も手軽です。インストールするとcodex-securityおよび短縮形のcsコマンドが利用可能になります。環境を汚したくない場合はnpx経由でそのまま実行することもできます。

導入後にcs loginで認証するか、環境変数OPENAI_API_KEYを設定した上で、対象ディレクトリでcs scanを実行すればスキャンが始まります。トークン消費を抑えたい場合は制限時間を指定することも可能です。

OpenAIの直接利用だけでなく、Amazon BedrockやOpenRouter、Fireworks AIなどの外部プロバイダ経由でのモデル実行もサポートされています。Amazon Bedrockを使う場合はAWS認証情報をそのまま活用できます。

CI/CDへの組み込み向けには公式のGitHub Actionが用意されています。安全な実行環境を整えるため、Ubuntuランナー上でBubblewrapやAppArmorを用いたサンドボックス設定を適用した上でスキャンを実行する構成が推奨されています。

なぜ重要か

セキュリティ診断において最も工数を奪うのは、誤検出の精査と修正コードの作成です。Codex Securityは高度な推論モデルを活用して脆弱性の実在性を二重チェックし、修正パッチまで提示してくれるため、開発チームの脆弱性対応スピードを大きく引き上げる可能性があります。

一方で、高推論モデルを全リポジトリに対して無制限に走らせるとAPIコストが跳ね上がる懸念があります。まずはプルリクエストのCIチェックに組み込み、--diffオプションを使って新規の変更差分に限定して運用を始めるのが最も実用的だと考えられます。