OpenAI, 'Codex Security' 오픈소스 공개: 취약점 탐지부터 패치 작성까지 자동화

Codex Security는 OpenAI가 오픈소스로 공개한 코드 보안 분석 도구입니다. CLI와 TypeScript SDK 형태로 제공되며, 코드 내 보안 취약점 탐지, 검증, 그리고 자동 패치 코드 생성까지 지원합니다.

도구 자체는 완전히 무료인 오픈소스 소프트웨어지만, 심층 분석을 위해 대형 모델 추론을 활용합니다. 기본 설정으로 gpt-5.6-sol 모델을 최고 추론 강도로 호출하도록 구성되어 있어, 도구를 사용하려면 OpenAI API 키를 연결하거나 계정으로 로그인해야 합니다.

주요 기능

기존 정적 분석 도구는 수많은 오탐을 쏟아내 개발자가 일일이 진짜 취약점인지 가려내야 하는 피로감이 컸습니다. Codex Security는 취약점 탐지뿐 아니라 검증과 패치 작성까지 한 번에 처리하도록 설계되었습니다.

검사 범위 설정은 매우 유연합니다. 저장소 전체를 병렬 워커로 심층 검사하는 모드 외에도, --path 옵션으로 특정 디렉터리만 지정하거나 --diff 옵션을 통해 Git 커밋의 변경 사항만 골라 스캔할 수 있습니다.

의심스러운 취약점이 발견되면 모델이 실제 공격 가능한 보안 결함인지 추가로 검증합니다. 취약점이 확인되면 patch 명령을 통해 즉시 적용 가능한 수정 코드를 자동으로 생성해 줍니다.

보안 정책 문서인 SECURITY.md의 초안을 작성하거나 위협 모델링 문서를 생성하는 기능도 갖추고 있습니다. 스캔 결과는 SARIF, JSON, CSV 형식으로 내보낼 수 있어 GitHub 코드 스캐닝 경고나 Linear 같은 이슈 관리 도구와 쉽게 연동됩니다.

설치 및 실행 방법

실행 환경으로는 Node.js 22.13.0 이상 및 Python 3.10 이상이 필요합니다. Python 3.10 환경에서는 tomli 패키지를 함께 설치해야 합니다.

npm을 통해 @openai/codex-security 패키지를 전역 설치하면 codex-security와 축약어인 cs 명령어가 생성됩니다. 전역 설치 없이 npx로 즉시 실행하는 것도 가능합니다.

설치 후 cs login으로 인증하거나 환경 변수에 OPENAI_API_KEY를 등록한 뒤, 프로젝트 폴더에서 cs scan 명령을 내리면 분석이 시작됩니다. 토큰 사용량을 조절하기 위해 권장 검사 제한 시간을 지정할 수도 있습니다.

OpenAI 직접 호출 외에도 Amazon Bedrock, OpenRouter, Fireworks AI 등 타사 인프라를 통한 모델 호출을 폭넓게 지원합니다. Amazon Bedrock을 사용할 경우 별도 OpenAI 로그인 없이 AWS 자격 증명만으로 동작합니다.

CI 자동화를 위한 공식 GitHub Action도 제공됩니다. AI 분석 작업이 안전한 격리 환경에서 실행될 수 있도록 Bubblewrap 및 AppArmor 샌드박스를 적용하는 워크플로가 함께 안내됩니다.

왜 중요한가

기존 보안 스캐너의 최대 단점이었던 무의미한 오탐 확인 작업을 AI가 대신 검증하고 수정 코드까지 제안한다는 점에서 실무 개발자에게 실질적인 가치를 줍니다.

다만 대규모 코드베이스 전체를 최고 추론 강도로 스캔하면 API 비용 부담이 커질 수 있습니다. 현실적인 도입 방안으로는 CI 파이프라인에서 --diff 옵션을 사용해 풀 리퀘스트 단위로 변경된 코드만 집중 점검하는 방식을 권장합니다.