代码安全审查是出了名的枯燥又容易漏。OpenAI 把这件事做成了一个 Codex 插件——Codex Security，目前处于 research preview（研究预览）。它扫描你的代码库、找出漏洞、验证是否真的可利用、再给出修复建议。据 StackHawk 统计，私有测试期间它扫了 120 万次提交、揪出超过 1 万个高危项。这篇讲它怎么用。

它解决什么问题

传统安全扫描器的老大难是误报：扫出一堆"可能的漏洞"，开发还得一个个去核实是不是真的。Codex Security 的核心卖点是在"发现"和"报告"之间插了一步——验证：它会实际去测试这个漏洞能不能被利用，把假阳性过滤掉，只把"真问题 + 证据 + 修复方案"交到你手上。

官方定义：Codex Security 是一个面向 Codex 的安全审查插件，扫描代码漏洞、验证合理发现、并以可审阅的工作区形式呈现证据和修复指引。适用于上线前对自己拥有的代码做安全体检。

第一步：安装插件

在 Codex App 里打开你要审查的代码库，然后安装 Codex Security 插件（官方提供安装入口）。

安装后必须开一个新 thread——因为 Codex 是在 thread 启动时加载插件，旧 thread 里插件不会生效。

💡 提示：如果用 Codex CLI，在仓库里启动 Codex，再打开插件浏览器：

codex
/plugins

搜索 Codex Security，选 Install plugin，然后开新 thread。

第二步：发起第一次扫描

为获得最佳扫描质量，官方建议用 gpt-5.5 模型 + high 或 xhigh 推理强度。

在新 thread 里直接发这句：

Run a Codex Security scan on this repository.

Codex 会在启动前打开一个配置工作区。第一次跑，推荐用这套设置：

• Scan type（扫描类型）：Codebase
• Deep scan（深度扫描）：Off（先跑普通扫，快速出结果）
• Scan area（扫描范围）：Entire codebase
• Threat model scoping guidance（威胁模型引导）：留空，除非你已经知道某个具体攻击向量或应用领域需要优先关注

确认 Codebase / Current branch / Last commit 指向的就是你要扫的仓库，然后点 Start scan。

第三步：等扫描跑完

扫描需要时间，保持 thread 运行直到工作区提示完成。如果 Codex 识别出某个配置限制，它会先把具体限制和提议的修改摆给你看，你确认后才让它改配置。

第四步：查看结果

扫描完成后会打开一个 findings 工作区，不用翻原始文件就能浏览发现和覆盖范围。可以按严重程度、类别、目录、补丁状态、审核状态筛选。

每次扫描还会生成这些产物：

• report.md：完整的可移植报告，用于分享或归档
• 结构化扫描数据：scan-manifest.json、findings.json、coverage.json，供自动化和集成使用（通常你不用手动打开）

后续可选工作流

跑完第一次后，官方列出了几条进阶路径：

• 标准 / 范围扫描：扫整个仓库或单个文件夹，用默认流程
• 深度扫描（Deep scan）：更全面，但耗时更长
• 审查代码变更：针对 PR、单个 commit、分支区间或工作区 patch
• 分诊积压（Triage a backlog）：你手上已有一批安全发现需要复核
• 修复并验证：接受某个发现后，让 Codex 出补丁并验证修好了
• 导出 / 跟踪发现：导出 JSON、CSV、SARIF，或创建需审批的 Linear / GitHub / Jira 工单，乃至私密 GitHub Security Advisory 草稿

适合谁

• 应用安全团队：把 Codex Security 当成"会验证的扫描器"，减少误报分诊的人力
• 开发团队：在 PR / commit 级别做安全门禁，问题不进主干
• 维护开源项目的人：扫历史代码库，分诊积压的安全项

一句话总结

Codex Security 的差异点在"验证"——不是只报漏洞，而是测一遍能不能真利用、再给证据和补丁。集成进 Codex 工作流后，它更像一个常驻的安全审查搭档，而不是装完就忘的扫描器。research preview 阶段适合先在自己的仓库上试水。