7月29日，OpenAI甩出了一把开向代码仓库的安全放大镜-。这款名为 Codex Security CLI 的开源命令行工具，任务很直接——帮开发者扫描代码仓库、揪出并验证安全漏洞，再把这道检查工序直接焊进持续集成与持续交付（CI/CD）的流水线里。
更有意思的是，这个工具在正式公开前就已经被 Hacker News 的社区用户提前“挖”了出来。OpenAI 在 X 上坦言：“我们悄悄发布了开源的 Codex Security CLI，但 Hacker News 在我们有机会分享之前就发现了它。”目前，Codex Security CLI 已在 GitHub 收获约1500颗星，采用 Apache-2.0 许可证开源。
命令行+SDK双通道，把安全检查焊进CI/CD
Codex Security CLI 以命令行界面为核心交互方式，同时提供 TypeScript SDK 接口。开发者可以用它做四件事：扫描代码仓库、查看代码变更、跨运行周期追踪安全问题、验证漏洞修复效果。
把它接进 CI/CD 流程后，持续开发的软件项目便能在每次构建时自动跑起安全检测，把潜在风险拦在代码合入之前。这意味着安全检查从“人工抽查”变成“流水线标配”——每一次代码提交，系统自动帮你审一遍。
上手门槛：一行npm命令，三分钟跑通
安装极其简单：
npm install @openai/codex-security
安装完成后，登录并扫描当前目录：
npx codex-security login npx codex-security scan .
机器需要提前备好 Node.js 22 或更高版本、Python 3.10 或更高版本，外加 Codex Security 的访问权限。
在 CI 环境里无需人工登录，只要把 OPENAI_API_KEY 这个环境变量设好，身份便自动核验通过。工具同时认 ChatGPT 账号登录 和 API 密钥 两种认证方式。扫描历史会保存在 Codex Security 工作目录中，若默认目录无法写入，可通过 CODEX_SECURITY_STATE_DIR 环境变量指定其他可写目录。
AI驱动的上下文分析，比传统模式匹配更聪明
Codex Security CLI 与传统静态分析工具最大的区别在于：它 使用AI模型进行上下文分析，而非仅仅依赖传统的模式匹配。
传统扫描工具靠规则和正则表达式找漏洞，误报率高、噪音大。Codex Security 的做法是：把漏洞发现、验证和修补建立在 系统特定的上下文 之上——它会理解代码在具体环境中的行为，给出更有意义的发现，并 直接生成可审查和应用的修复补丁。
不过，模型驱动的分析也并非完美。有评论指出，AI 的“理解”天然带有不确定性，今天觉得没问题，明天换个模型版本可能又报了新的问题。
为什么这对开发者很重要？
过去，安全扫描往往是“事后补票”——代码写完了、PR发起了、甚至上线了，才想起来跑一遍安全检查。周期长、反馈慢、修复成本高。
Codex Security CLI 把这道防线 前置到了开发者日常工作的命令行里。每一次 git commit、每一次 PR、每一次 CI 构建，安全检测都自动跑一遍。当安全检测像代码格式化一样触手可及，软件供应链那道最容易被忽略的防线，正在被悄悄前移。
一个值得关注的信号
Codex Security CLI 的开源，标志着 OpenAI 正将 AI 安全能力 从模型层面延伸至开发者工具链。在 AI 辅助编程工具大规模普及的背景下，代码生成速度越快，安全团队跟上节奏的压力就越大。把 AI 驱动的漏洞检测塞进命令行，让开发者自己就能在写代码的过程中把安全问题拦住——这可能是比“更聪明的模型”更务实的安全解法。
代码已挂在 GitHub 的 openai/codex-security 之下。如果你正在维护一个持续交付的代码仓库，不妨花三分钟装一下试试。下次 CI 跑起来的时候，安全扫描自己就开工了。
