7月29日，OpenAI甩出了一把开向代码仓库的安全放大镜-。这款名为Codex Security CLI的开源命令行工具，任务很直接——帮开发者扫描代码仓库、揪出并验证安全漏洞，再把这道检查工序直接焊进持续集成与持续交付（CI/CD）的流水线里。
更有意思的是，这个工具在正式公开前就已经被Hacker News的社区用户提前“挖”了出来。OpenAI在X上坦言：“我们悄悄发布了开源的Codex Security CLI，但Hacker News在我们有机会分享之前就发现了它。”目前，Codex Security CLI已在GitHub收获约1500颗星，采用Apache-2.0许可证开源。
一、命令行+SDK双通道，把安全检查焊进CI/CD
Codex Security CLI以命令行界面为核心交互方式，同时提供TypeScript SDK接口。开发者可以用它做四件事：扫描代码仓库、查看代码变更、跨运行周期追踪安全问题、验证漏洞修复效果。
把它接进CI/CD流程后，持续开发的软件项目便能在每次构建时自动跑起安全检测，把潜在风险拦在代码合入之前。这意味着安全检查从“人工抽查”变成“流水线标配”——每一次代码提交，系统自动帮你审一遍。
二、上手门槛：一行npm命令，三分钟跑通
安装极其简单：
npm install @openai/codex-security
安装完成后，登录并扫描当前目录：
npx codex-security login npx codex-security scan .
机器需要提前备好Node.js 22或更高版本、Python 3.10或更高版本，外加Codex Security的访问权限。
在CI环境里无需人工登录，只要把OPENAI_API_KEY这个环境变量设好，身份便自动核验通过。工具同时认ChatGPT账号登录和API密钥两种认证方式。扫描历史会保存在Codex Security工作目录中，若默认目录无法写入，可通过CODEX_SECURITY_STATE_DIR环境变量指定其他可写目录。
三、AI驱动的上下文分析，比传统模式匹配更聪明
Codex Security CLI与传统静态分析工具最大的区别在于：它使用AI模型进行上下文分析，而非仅仅依赖传统的模式匹配。
传统扫描工具靠规则和正则表达式找漏洞，误报率高、噪音大。Codex Security的做法是：把漏洞发现、验证和修补建立在系统特定的上下文之上——它会理解代码在具体环境中的行为，给出更有意义的发现，并直接生成可审查和应用的修复补丁。
在正式开源之前，Codex Security已经以研究预览版的形式运行了一段时间。OpenAI披露的数据显示，在30天内，Codex Security扫描了私测群体外部代码库中超过120万次提交，共识别出792项严重发现和10,561项高危发现-。严重问题仅出现在不足0.1%的已扫描提交中。
四、为什么这对开发者很重要？
过去，安全扫描往往是“事后补票”——代码写完了、PR发起了、甚至上线了，才想起来跑一遍安全检查。周期长、反馈慢、修复成本高。
Codex Security CLI把这道防线前置到了开发者日常工作的命令行里。每一次git commit、每一次PR、每一次CI构建，安全检测都自动跑一遍。当安全检测像代码格式化一样触手可及，软件供应链那道最容易被忽略的防线，正在被悄悄前移。
五、一个值得关注的信号
Codex Security CLI的开源，标志着OpenAI正将AI安全能力从模型层面延伸至开发者工具链-7。在AI辅助编程工具大规模普及的背景下，代码生成速度越快，安全团队跟上节奏的压力就越大-3。把AI驱动的漏洞检测塞进命令行，让开发者自己就能在写代码的过程中把安全问题拦住——这可能是比“更聪明的模型”更务实的安全解法。
代码已挂在GitHub的openai/codex-security之下。如果你正在维护一个持续交付的代码仓库，不妨花三分钟装一下试试。下次CI跑起来的时候，安全扫描自己就开工了。
