OpenAI, Codex Security 공개

OpenAI가 취약점 탐지부터 재현 검증과 수정 제안까지 수행하는 Codex Security를 CLI와 TypeScript SDK 형태로 공개했다. 오픈소스 npm 패키지 @openai/codex-security로 제공되며, Codex 데스크톱 앱·터미널·SDK·Codex 클라우드에서 사용할 수 있다.

기존 규칙 기반 SAST처럼 고정된 시그니처만 매칭하는 대신, 저장소별 위협 모델과 코드 맥락을 바탕으로 취약점 후보를 찾는다. 신호가 강한 발견은 격리된 환경에서 검증한 뒤 결과로 노출해 오탐을 줄이고, 발견 근거와 우선순위, 패치 제안까지 함께 제공한다.

주요 기능은 다음과 같다.

• scan: 저장소 전체, 특정 경로, 커밋 diff, 작업 트리 변경분 스캔
• validate: 발견된 취약점의 재현 가능성 검증
• patch: 취약점 수정안 생성
• scans compare: 스캔 간 발견을 신규·지속·재발·해결 등으로 분류
• SARIF·CSV·JSON 내보내기 및 CI·pre-commit 훅 연동
• 아키텍처 문서·보안 정책·위협 모델을 --knowledge-base로 스캔 맥락에 추가

GitHub 연동 기반 Codex 클라우드는 리서치 프리뷰로 제공되며, 저장소를 커밋 단위로 스캔한다. 실행에는 Node.js 22.13.0 이상과 Python 3.10 이상이 필요하고, Codex 모델 실행을 전제로 하므로 완전한 폐쇄망 환경에는 적합하지 않다. --max-cost 옵션으로 비용 상한을 설정할 수 있다.

현재 공개 저장소와 문서에는 탐지 품질을 입증하는 독립적인 벤치마크 수치가 제시되지 않았다.