@openai/codex-security が OSS（Apache-2.0）として npm に公開された。Codex Security プラグインと同じスキャナを、CLI と TypeScript SDK から使える。スキャン実行には Codex Security へのアクセスが必要で、Trusted Access for Cyber の検証済みアカウントが推奨される。

bash
npm install @openai/codex-security
npx @openai/codex-security login
npx @openai/codex-security scan .

CI では OPENAI_API_KEY または CODEX_API_KEY を渡す。環境変数のキーは当該スキャンにだけ使い、Codex の credential home や keyring には保存しない。対話スキャンで ChatGPT サインインと API キーが両方あるときはどちらを使うか選べる。非対話では API キーが優先される。

  • 必要環境: Node.js 22.13.0 以降（22.x）/ 24.x / 26.x、スキャンと export には Python 3.10 以降
  • 既定モデルは gpt-5.6-sol（reasoning effort xhigh）。--model / --effort で変更できる
  • --diff / --working-tree でコミット差分や作業ツリーをレビューし、--mode deep で広いレビュー、--max-cost で推定コスト上限、install-hook で pre-commit チェックを入れられる
  • bulk-scan で GitHub 上のリポジトリ発見や CSV 指定の一括走査（再開可）。Docker Compose 構成も同梱
  • SDK では CodexSecurity クライアントから run / preflight を呼び、成果物パスや finding 数を受け取れる

結果は report-only が既定で、report.md・findings.json・coverage.json などを出力ディレクトリへ残す。成果物にはソース抜粋や脆弱性詳細が含まれるため、リポジトリ外の私有な場所へ置く。

#参考文献