OpenAI今日正式宣布开源命令行安全工具Codex Security CLI，帮助开发者在日常编码流程中扫描代码仓库、发现和验证安全漏洞，并支持将安全检查无缝集成到CI/CD持续交付流水线中。有趣的是，OpenAI坦言该工具在正式公开前就已被社区提前"挖掘"出来，目前仍处于早期版本阶段。
命令行+SDK双通道，直连CI/CD流水线
Codex Security CLI以命令行界面为核心交互方式，同时提供Typescript SDK接口。开发者可以使用它扫描代码仓库、查看代码变更、跟踪不同运行周期中的安全问题，并验证漏洞修复效果。
对于持续开发的软件项目，将该工具嵌入CI/CD流程后，每次代码提交都能自动触发安全检测，提前暴露潜在风险。安装方式极其简单，通过npm一行命令即可完成，工具要求Node.js22 或更高版本、Python 3. 10 及以上版本，以及Codex Security的访问权限。完成身份验证后，开发者只需执行扫描命令即可对代码仓库进行安全审查。
在CI环境中，无需交互式登录，通过设置OPENAI_API_KEY环境变量即可完成自动化身份验证。工具同时支持ChatGPT账号登录和API密钥两种认证方式，满足个人开发者和企业级团队的不同需求。
扫描历史会保存在Codex Security工作目录中，若默认目录不可写入，用户还可通过环境变量自定义存储路径。对于深度使用者，Typescript SDK允许直接在Typescript项目中调用安全扫描功能，获取扫描报告路径，实现更灵活的工具链整合。
Codex Security CLI的推出，标志着OpenAI正将AI安全能力从模型层面延伸至开发者工具链。当安全检测像代码格式化一样触手可及，这对整个软件开发生态的防御水平意味着什么——答案可能比一款CLI工具本身深远得多。