OpenAI 開源 Codex Security：免費查程式碼漏洞，還能讓 AI 直接寫補丁

Codex Security 是 OpenAI 開源的程式碼安全分析工具，提供命令列工具和 TypeScript SDK，能幫你自動尋找程式碼裡的安全漏洞、做真實性二次驗證，甚至直接寫好修復補丁。

它本身是個完全免費的本地工具，但背後的安全分析依賴大模型。預設配置下，它會呼叫 gpt-5.6-sol 並開啟最高推理強度。也就是說，雖然客戶端程式碼開源免費，但你執行掃描時需要配置 OpenAI API 金鑰，或者登入自己的賬號來支付推理算力。

它能做什麼

傳統的程式碼審計工具通常只負責掃出一堆警告，把真假漏洞混在一起丟給工程師。Codex Security 想做的是把審計、驗證和修復閉環走完。

在掃描範圍上，它非常靈活。你可以用 scan 命令對整個程式碼倉庫做全盤深度掃描，也可以用 --path 指定某個業務目錄，或者在 CI 流程裡用 --diff 引數只檢查本次 Git 提交帶來的增量改動。

掃出可疑漏洞後，工具不會立刻下定論，而是能執行二次驗證，通過模擬呼叫和上下文推演來確認這到底是不是真正的安全隱患。確認漏洞後，它還能通過 patch 命令直接生成可以直接應用的修復程式碼。

除了找漏洞，它還能幫你生成或更新倉庫裡的 SECURITY.md 安全策略文件，並在掃描結束後匯出完整的威脅建模報告。掃描結果可以匯出為標準的 SARIF、JSON 或 CSV 格式，方便直接對接 GitHub 程式碼掃描報警或 Linear 等工單系統。

怎麼跑起來

跑這個工具需要本地裝有 Node.js 22.13 以上版本，以及 Python 3.10 以上環境，Python 3.10 環境下還需要安裝 tomli 庫。

最快的上手方式是直接通過 npm 全域性安裝 @openai/codex-security，安裝後會生成 cs 和 codex-security 兩個命令列命令。不想全域性安裝的話，也可以直接用 npx 執行。

安裝完成後執行 cs login 登入你的賬號，或者直接在環境變數裡設定 OPENAI_API_KEY。進入專案根目錄後，執行 cs scan 就會開始分析程式碼。如果你想限制掃描時間，還可以加上時間上限引數避免消耗過多 token。

如果不想繫結 OpenAI 官方 API，它也留了後路。配置支援接入 Amazon Bedrock、OpenRouter、Fireworks AI 等第三方模型後端。如果用 Bedrock，直接通過本地 AWS 憑證鑑權即可，連 OpenAI 賬號都不需要。

對於持續整合環境，OpenAI 提供了官方的 GitHub Action。由於 AI 執行安全分析時需要執行沙箱，官方工作流裡配置了 Bubblewrap 和 AppArmor 隔離環境，保證掃描過程本身不會對構建機產生安全隱患。

為什麼重要

我們認為，Codex Security 很有可能成為很多團隊安全流水線的新標配。過去自動化靜態分析工具最讓人頭疼的是誤報率居高不下，安全團隊每天都要花大量時間人工篩查假警報；而 Codex Security 引入了大模型的推理能力來做二次驗證，甚至順手把補丁都寫了，大幅縮短了從發現問題到修復上線的鏈路。

但它也有顯而易見的門檻。掃描直接按 token 計費，全盤深度掃描開到高推理強度，對於中大型程式碼庫來說成本不會太低。對於普通團隊，更現實的做法是在日常開發中用 --diff 掛在 GitHub Action 裡跑增量檢查，把成本控制在每次程式碼提交的改動範圍內，值得有安全合規需求的專案儘早接入試試。