OpenAIがコードセキュリティ向けCLI・SDKを公開
原題: Codex Security
なぜ重要か
AIを活用したコードセキュリティ自動化ツールの普及は、DevSecOps分野における開発サイクルの短縮と脆弱性対応コスト削減につながる重要なトレンドである。
OpenAIは、コード内のセキュリティ脆弱性を検出・検証・修正するためのCLIおよびTypeScript SDK「Codex Security（@openai/codex-security）」をGitHubでオープンソース公開した。Node.js 22以降とPython 3.10以降が必要で、npmからインストール可能。リポジトリのスキャン、変更レビュー、CI連携などの機能を提供する。
OpenAIは、コードのセキュリティ脆弱性を発見・検証・修正するためのツール「Codex Security」をGitHub上で公開した。リポジトリ名は「openai/codex-security」で、Apache-2.0ライセンスのもとで提供されている。公開時点でスター数は781、フォーク数は48を記録している。
Codex SecurityはCLIとTypeScript SDKの2形態で提供される。利用にはNode.js 22以降およびPython 3.10以降が必要で、npmパッケージ「@openai/codex-security」としてインストールできる。基本的な使い方は「npx codex-security login」でサインインした後、「npx codex-security scan .」でカレントディレクトリをスキャンする流れとなる。
主な機能としては、リポジトリ全体のセキュリティスキャン、コード変更のレビュー、検出結果の継続的な追跡、CI（継続的インテグレーション）パイプラインへの組み込みが挙げられる。CI環境では、対話的なサインインの代わりに環境変数「OPENAI_API_KEY」を設定することで利用可能。ChatGPTのサインイン情報とAPIキーの両方が存在する場合、インタラクティブスキャン時にどちらを使用するか選択を求めるプロンプトが表示される仕様となっている。
リポジトリにはDockerfileおよびcompose.yamlも含まれており、コンテナ環境での利用にも対応している。ドキュメントとクイックスタートガイドも合わせて提供されている。