코덱스 시큐리티

코덱스 시큐리티는 OpenAI가 만든 보안 에이전트로, 보안 연구자처럼 코드를 읽고 격리 환경에서 실제로 재현된 취약점만 보고하며 고칠 패치를 제안한다. 규칙에 걸릴 때마다 경고를 쏟아내는 스캐너와 달리, 경고가 너무 많아 진짜 위험한 버그를 골라내기 어려울 때 쓴다.

위협 모델부터 패치까지 네 단계

GitHub 저장소를 연결하면 먼저 그 코드에 맞는 위협 모델을 만든다. 공격자가 들어올 수 있는 곳, 민감한 데이터, 위험한 코드 경로를 정리한 지도다. 이 지도는 팀이 직접 고칠 수 있다. 예를 들어 사내망에서만 열리는 관리자 API라고 적어 두면, 에이전트가 현실에 없는 공격 시나리오에 시간을 쓰지 않는다.

코드를 마음대로 고치지는 않는다. 패치는 검토 대상으로 표시되고, 평소처럼 풀 리퀘스트로 만들어 반영한다. OpenAI는 이 방식으로 오탐이 절반 넘게 줄었다고 밝혔다.

데스크톱·CLI·CI 어디서든 돌린다

Codex 데스크톱의 Security 워크벤치나 Codex CLI에서는 플러그인으로 설치해 쓴다. 클라우드 버전은 Codex cloud에 연결된 GitHub 저장소를 커밋마다 스캔한다. CLI와 SDK는 @openai/codex-security 패키지로 공개되어 있어 npx @openai/codex-security --help로 바로 실행해 볼 수 있다.

SDK로는 스캔 깊이, 워커 수, 최대 실행 시간을 정할 수 있다. 예를 들어 security.run("/path/to/directory", { mode: "deep", workers: 2, maxTimeHours: 1.5 })처럼 쓴다. 비용과 깊이는 상황에 따라 이렇게 나누면 된다.

dedupe를 쓰면 공유 라이브러리의 결함 하나가 서비스 열 곳에서 열 번 보고되는 일이 줄어든다.

소스 코드 밖의 문제는 못 잡는다

판단 근거가 소스 코드와 저장소 맥락뿐이라, 실제 배포 설정이나 인프라, 실행 중에 생기는 문제까지 잡지는 못한다. 위협 모델이 실제 배포 구조와 다르면 분석도 엉뚱한 쪽으로 가므로 사람이 위협 모델을 확인하는 단계는 빼면 안 된다. 기존 보안 체계를 대신하는 도구가 아니라, 그 위에서 문제를 골라내고 고치는 속도를 높여 주는 도구로 보는 게 맞다.

PR 검토와 릴리스 전 점검에 주로 붙인다

가장 흔한 방식은 개발 흐름 안에 보안 검토를 끼워 넣는 것이다. 커밋마다 가볍게 돌려 두고, 중요한 시점에만 깊게 돌린 뒤, 재현된 문제와 패치 제안을 사람이 검토해 풀 리퀘스트로 반영한다.