Codex Security 把漏洞扫描、补丁生成与修复核验收进同一套工作流，命令行与 CI 都能调用
核心概要
OpenAI 的 Codex Security 让代码漏洞的查找、调查与修复在同一个工作流里完成，可在 Codex 会话中选择安全流程，也可用 @openai/codex-security 命令行或 TypeScript SDK 自动化。扫描对象包括整个仓库、选定路径和 Git 变更，深度扫描会重复标准扫描并返回去重后的发现。扫描完成后保存报告与发现，报告列出源码证据与排除项，供使用者判断覆盖范围。
深度剖析
代码安全审查可以在 Codex 会话里发起，也可以交给命令行工具或 TypeScript SDK 自动执行，扫描对象包括整个仓库、选定路径和 Git 变更。 同一套安全流程分布在 Codex 插件、命令行、SDK 和 GitHub Action 四条入口上，命令行短名 cs 与 codex-security 指向同一个工具。 全局安装后执行 cs login 登录，在仓库目录执行 cs scan . 即可扫描，扫描结束会在终端给出报告文件的路径，用 cs scans show 可在同一仓库找回最近一次完成的扫描。
扫描不止列出可疑点，还能验证候选发现、生成补丁，并核验已有修复是否有效。 标准扫描给出发现清单，深度扫描则重复标准扫描并返回去重后的结果，把重复项合并后再呈现。 报告同时记录源码证据与排除项，使用者需要阅读这些内容来判断覆盖范围，再决定请求补丁还是让 Codex 核验现有修复。
发现可以按使用者自己的评级标准评估严重程度，并结合源码与 Git 历史建议负责人，随后推送到 Linear、Jira 或 GitHub，或导出为 SARIF、JSON、CSV。 第三方扫描器的结果可以先在本地预览和保存，受支持的报告再发布到 Codex Security Cloud。 扫描会沿用仓库根目录与各组件的 SECURITY.md 指引，也可先起草或修订该文件、保存威胁模型供后续审阅。
启示与展望
已展示的范围是产品用法：在 Codex 会话中启用插件发起扫描，或在终端安装命令行后扫描仓库、指定路径与 Git 变更，也可通过 TypeScript SDK 与 GitHub Action 接入自动化。运行需要 Node.js 22.13.0 以上的 22.x，或 Node.js 24.x、26.x，以及 Python 3.10 以上，Python 3.10 还需 tomli。部分网络安全请求与受保护发现需要 Trusted Access for Cyber。
深度扫描被描述为重复标准扫描并返回去重后的发现，其时间与规模限制需另行查看说明。扫描报告包含排除项，覆盖范围要读报告才能确定。部分请求与受保护发现受 Trusted Access for Cyber 限制，拥有 Daybreak 访问权限的账户需另行选择程序。