利用するには何が必要ですか？

Node.js（22.13.0+、24.x、26.x）、Python 3.10+、そしてChatGPTアカウントでのログインまたはAPIキー（`OPENAI_API_KEY`/`CODEX_API_KEY`）による認証が必要です。

CI環境で自動実行できますか？

はい。`OPENAI_API_KEY`または`CODEX_API_KEY`を環境変数に設定することで、インタラクティブなログインなしでスキャンが実行できます。

スキャン前後の差分はどうやって確認しますか？

`scans compare BEFORE_SCAN_ID AFTER_SCAN_ID`コマンドを実行することで、根本原因ベースで照合し、新規・持続・再発・解決済み・不明のいずれかに自動分類します。

TypeScript以外の言語から呼び出せますか？

CLIが提供されているため、任意のシェル環境から呼び出せます。また公式のTypeScript SDKも同梱されています。

ローカルでの認証情報はどこに保存されますか？

Codex Securityの設定された認証バックエンド（システムキーリングなど）に従い、プライベートな永続ステートディレクトリに保存されます。

Codex Security｜コードの脆弱性を検出・検証・修正するCLIとSDK

ポイント

コード脆弱性の検出・検証・修正までを一連のワークフローで自動化
スキャン結果の自動比較により新規や解決済みの脆弱性を差分検知
TypeScript SDKとCLIを提供しCI/CDやDocker環境へ統合可能

概要・解決する課題

従来の静的解析ツールでは、検出された脆弱性が本当に修正すべきものかどうかの検証や、具体的な修正コードの作成に多くの手作業が発生していました。本ツールは、OpenAIの技術を用いて脆弱性の発見だけでなく、検証と修正プログラムの適用までをサポートします。変更前後のスキャン結果を比較して、根本原因に基づき新規や解決済み、未対応の脆弱性を自動で分類する機能も備えています。

一方で、最良の結果を得るには「Trusted Access」で検証されたアカウントが推奨されるほか、Codex Securityへのアクセス権が必要です。

なぜ注目されているか

AIによるコード生成が普及する中で、生成コードや既存リポジトリに潜むセキュリティリスクを開発パイプライン内で自動的に対処したいという需要が高まっています。モデル（gpt-5.6-terraなど）や検証の取り組みレベル（--effort）を開発者が柔軟に調整し、高精度な検証を試みられる点が関心を集めています。

主なユースケース

継続的インテグレーション（CI）での自動セキュリティ監査 GitHub ActionsなどのCI環境で、APIキーを用いてコミットごとに脆弱性を自動検出します。
リポジトリ変更前後の脆弱性差分追跡 コード修正の前後でスキャンを実行し、既存の脆弱性が正しく解決されたかを比較検証します。
```
npx @openai/codex-security scans compare BEFORE_SCAN_ID AFTER_SCAN_ID
```

動作環境

Node.js: 22.13.0以降の22.x系列、24.x、または26.x
Python: 3.10以降
アカウント/認証: ChatGPTアカウントでのログイン、またはAPIキー（OPENAI_API_KEY/CODEX_API_KEY）のいずれかが必要（最良の結果には検証済みのTrusted Accessアカウントが推奨）

始め方（クイックスタート）

まずは必要なランタイムがインストールされていることを確認し、パッケージをインストールしてログインとスキャンを実行します。

npm install @openai/codex-security
npx @openai/codex-security login
npx @openai/codex-security scan .

CI環境では、環境変数OPENAI_API_KEYまたはCODEX_API_KEYを設定することで、インタラクティブなログインをスキップできます。詳細は公式のCLIリファレンスを参照してください。

実際に使ってみて

手元のTypeScript/Astro構成・約300ファイル規模のプロジェクトを対象に、AIコーディングアシスタント（Claude Code）上でインストール〜ChatGPTアカウント（Plusプラン）でのログイン〜scan .実行までを一通りやってもらったところ、完了まで約56分（3,355秒）かかりました。単純なパターンマッチ型の静的解析ツールと比べて桁違いに時間がかかるのは、脅威モデル構築→ファイル網羅確認→検証→findings生成という複数フェーズをLLMが1ファイルずつ根拠付きで積み上げる設計のためです。

CLIは「Estimated cost: $108.43 USD」とAPI従量課金換算の目安値を表示しますが、これはAPIキー利用時の参考値です。ChatGPTログインの場合は実際に課金されるわけではなく、Plusプランの使用量（レート制限枠）を消費する形で、体感でも1回のフルスキャンでプランの利用枠をかなり使う印象でした。

検出は19件（medium 2件・low 17件、カバレッジはpartial）で、CI/CDパイプライン内の権限設計に関わる指摘など検討する価値のある内容も含まれていました。プロンプトインジェクション系の指摘は「悪意ある外部データが自動化ツールの指示に紛れ込み、ビルド前のファイルを書き換える」という多段の前提が揃った場合の理論上の経路（未検証・confidence medium）が中心で、パターンマッチ型の静的解析とは違う切り口の指摘が出る点は参考になりました。この規模・所要時間は「気軽に何度も回す」用途には向かず、対象を絞るかCI頻度を検討する必要がありそうです。

他の検証では、インストールからスキャン実行までは単体のCLIツールとして自分の手でターミナルから行い、実行後のターミナル出力（レポートの保存先パスを含む）をそのままAIコーディングアシスタントに渡してみました。エージェント側がそのパスからレポート本体を読みに行き、指摘内容の解説から実際の修正まで一気通貫でやってもらえたので、スキャンは手元で完結させ、分析・修正はエージェントに任せる、という分業もしやすいです。

こんな人におすすめ

セキュリティ修正の手間を削減したい開発者
CI/CDパイプラインに高度な脆弱性検出を組み込みたいDevSecOpsエンジニア
コンテナベースで大量のリポジトリを一括スキャンしたい運用担当者

本記事は GitHub Trending を元に自動生成しています。最新情報は公式リポジトリをご確認ください。