ニュース
OpenAI、脆弱性の発見・検証・修正を行う「Codex Security CLI」をオープンソース公開
CI/CDへ組み込むことも可能
2026年7月29日 18:45
米OpenAIは7月29日（現地時間）、「Codex Security CLI」を発表した。コードの脆弱性を発見・検証・修正するためのコマンドラインツールと「TypeScript」のSDK（ソフトウェア開発キット）で構成されており、CI/CDへセキュリティチェックを組み込むこともできる。
We quietly released the open-source Codex Security CLI, but Hacker News found it before we had a chance to share it here...
— OpenAI (@OpenAI)July 29, 2026
You can now use it to scan repositories, track findings across runs, verify fixes, and add security checks to CI/CD.
This is an early release, and we're…pic.twitter.com/4AbAn1ZRym
「Codex Security CLI」は「GitHub」でホストされているオープンソースプロジェクトで、ライセンスは「Apache-2.0」。“ひっそりと”リリースしたが、告知する前にテックメディアに見つかってしまったという経緯もあり、まだ早期リリースの段階である点には注意したい。
導入は「npm」から、以下のコマンドで行える。ただし、CLIとSDKはベータ版で、利用には「Codex Security」へのアクセス権が必要。ローカル環境では「ChatGPT」アカウントでサインインし、CI環境などの自動化されたワークフローでは代わりにAPIキーを設定する。
npm install @openai/codex-security
npx codex-security login
npx codex-security scan .
なお、アカウントやリポジトリによっては、リポジトリ全体のスキャンに「Trusted Access for Cyber」も必要となる。CLIとSDKの実行には「Node.js 22」以降が必要。スキャンの実行と結果のエクスポートには「Python 3.10」以降も必要となる。
スキャンの結果は所定のディレクトリに格納されるが、そのなかには人間にも読みやすい「report.md」だけでなく、自動処理向けの構造化ファイルも含まれる。そのため、他のツールやエージェントとの連携も容易だろう。
また、スキャンの対象や方法を柔軟に設定できるのも特徴。リポジトリ内の特定のパスのみを対象にしたり、指定リビジョンとHEADの差分やワークツリーの変更のみをレビューしたりできる。より広範なレビューが必要な場合は「deep」モードも選択可能で、アーキテクチャー文書や脅威モデル、セキュリティポリシーをナレッジベースとして与えることで、システムの実態に即した評価を促すこともできる。推定モデルコストが指定額（米ドル）を超えたらスキャンを停止する「--max-cost」オプションや、コミット前に変更内容をスキャンする「Git」のpre-commitフックをインストールする機能も用意されている。
