codex-security, da OpenAI, escaneia código, valida vulnerabilidades e gera correções

O repositório openai/codex-security reúne a CLI e o SDK em TypeScript do Codex Security, ferramenta da OpenAI para achar, validar e corrigir vulnerabilidades. O projeto está em alta no GitHub, com 599 estrelas ganhas hoje e 13.529 no total. Para times de segurança de aplicações, a proposta é cobrir da busca ao patch na mesma ferramenta.

O que é e que problema resolve

Segundo o README, o projeto ajuda a encontrar, investigar e corrigir falhas de segurança no código. Muitas ferramentas de varredura entregam só uma lista de candidatos. Aqui, a mesma ferramenta valida cada achado, gera patches e confere correções já existentes.

O escaneamento pode cobrir o repositório inteiro, caminhos escolhidos ou mudanças do Git. O modo Deep scan repete varreduras padrão e devolve os resultados sem duplicatas. Também é possível criar threat models e rascunhar políticas SECURITY.md.

Como funciona

Há três portas de entrada: um plugin dentro de uma sessão do Codex, a CLI no terminal (comando cs ou codex-security) e automação por SDK ou GitHub Actions. Ao fim de cada scan, a ferramenta salva um relatório em Markdown com evidências do código e limites de cobertura.

Os resultados podem ser exportados em SARIF, JSON e CSV, ou acompanhados em Linear, Jira e GitHub. A CLI também importa achados de outros scanners. Publicar no Codex Security Cloud é opcional, e os scans locais funcionam sem ele.

O README também descreve sugestão de responsáveis a partir do código e do histórico Git, além de classificação de severidade segundo critérios do próprio time.

Como começar e requisitos

É preciso Node.js 22.13.0 ou superior na série 22, ou Node.js 24 ou 26, e Python 3.10 ou superior. O Python 3.10 ainda exige o pacote tomli. A instalação é global via npm, seguida de login com cs login. Quem prefere evitar a instalação global pode usar npx.

Em CI, basta definir OPENAI_API_KEY ou CODEX_API_KEY no ambiente. O exemplo de GitHub Actions do projeto roda uma varredura semanal em runner Ubuntu. Alguns pedidos de cibersegurança e achados protegidos exigem o programa Trusted Access for Cyber.

Maturidade e repercussão

O repositório foi criado em 13 de julho de 2026, usa licença Apache-2.0 e recebeu commit em 14 de novembro. Tem 1.054 forks. O blog note aponta 55 releases até 13 de novembro.

A versão 0.10.0, de 12 de novembro, permite retomar scans padrão interrompidos a partir de checkpoints. Também traz o parâmetro --max-total-cost para limitar o custo estimado de varreduras em lote. O note alerta que processos em andamento podem ultrapassar esse limite, que não é um teto rígido.

O Codex Security surgiu como research preview em março, segundo o International Business Times. Em outubro, a OpenAI creditou a ferramenta, junto com Calif e Wiz, na descoberta de duas falhas críticas no motor do PHP, de acordo com o Crypto Briefing.

Cuidados ao adotar

A CLI exige login ou chave de API da OpenAI. Em scans com limite de custo definido, a versão 0.10.0 recusa o acompanhamento explícito de patches. Quem une varredura e correção num só fluxo precisa separar as etapas.

Pontos-chave

• O pacote npm se chama @openai/codex-security, e os comandos cs e codex-security são equivalentes.
• A opção --max-time define uma estimativa de tempo para scans padrão, em minutos.
• Worktrees do Git compartilham histórico de scans quando usam o mesmo diretório de estado.
• O exemplo de GitHub Actions pede o SHA de um commit revisado da release do Action.

Texto escrito por IA a partir das reportagens e páginas listadas abaixo e checado contra elas por uma segunda revisão automática. Atualizado em 14/11/2026 às 20:00 (Brasília).