背景:两周揽下2500星的OpenAI新开源项目
7月中旬,OpenAI在GitHub上开源了Codex Security——一个用于发现、验证并修复代码安全漏洞的CLI工具和TypeScript SDK。项目创建于7月13日,短短两周就收获超过2500颗星和134个fork,采用Apache-2.0许可证,在Hacker News上获得443个赞和136条讨论。此前它以Codex插件的形式存在,此次开源意味着OpenAI正式把AI安全扫描能力开放给了整个开发者社区。
核心功能:从扫描到修复的闭环
Codex Security的定位不是传统意义上的静态分析器(SAST),而是一个由AI模型驱动的安全工作流工具:扫描整个仓库、审查代码变更、随时间跟踪发现项,并把安全检查嵌入CI流水线。安装和起步非常简单——需要Node.js 22+和Python 3.10+:
npm install @openai/codex-security
npx codex-security login
npx codex-security scan .
认证方面支持两种方式:ChatGPT账号登录(交互式扫描)或OPENAI_API_KEY环境变量(CI等非交互场景),也可以通过–auth参数显式指定。扫描历史保存在本地工作台状态目录中,便于跨时间对比漏洞趋势。除了CLI,项目还提供TypeScript SDK,几行代码就能把安全扫描集成进自己的工具链:
const security = new CodexSecurity();
const result = await security.run(“.”);
console.log(result.reportPath);
意义:白帽安全Agent赛道升温
这个项目的价值不止于工具本身。它代表了AI coding agent向安全领域的正式进军——传统SAST工具以高误报率著称,而基于大模型的方案能够理解代码语义,不仅”发现”漏洞,还能”验证”可利用性并直接给出修复方案,形成完整闭环。有HN用户评论说,他正和同事讨论构建白帽安全Agent的方案,Codex Security”可以简化大量工作”。值得注意的是,Promptfoo(知名LLM安全评估工具)的联合创始人Michael透露他正参与该项目在OpenAI的开发,并亲自到HN评论区收集反馈。
社区反响:期待、质疑与对标
136条评论呈现了几条清晰的讨论线。实用性问题上,多位用户报告遇到”你正在尝试我们做不允许的操作”这类认证报错,官方已确认并在跟进。竞争格局方面,有人直接发问:”这类工具会不会让Snyk这样的公司倒闭?我们用Snyk,并不满意。”也有人点名希望看到它与strix(4.5万星的开源AI安全agent)的正面对决;还有人指出阿里巴巴同期也开源了类似的CLI代码审查工具open-code-review——AI安全工具的军备竞赛已经开场。
也有冷静的技术审视:一位用户最初认为”这不过是给他们现有模型套了个方便的CI壳”,但在翻看了SDK的类型定义后承认”里面的料比想象的多”。这种从质疑到认可的态度转变,恰恰说明项目需要更多时间来证明自己的能力边界。
展望
对开发者而言,Codex Security的开源把”AI安全审计”的门槛拉到了npm install级别。对企业而言,真正的考验在于误报率、对大型单体仓库的扩展性,以及与现有SAST/SCA工具链的整合深度。安全扫描是AI agent最被看好的落地场景之一——这个赛道接下来的竞争值得关注。
项目: github.com/openai/codex-security | HN讨论(136条): news.ycombinator.com