# \#sarif **URL:** https://discuss.pytorch.kr/tag/sarif/8709.md [최신](https://discuss.pytorch.kr/latest.md) · [카테고리](https://discuss.pytorch.kr/categories.md) · [태그](https://discuss.pytorch.kr/tags.md) --- ## [Codex Security: 취약점 탐지부터 검증, 패치까지 수행하는 OpenAI의 보안 스캔 CLI 및 SDK](https://discuss.pytorch.kr/t/codex-security-openai-cli-sdk/11487)
**Author:** [@9bow](https://discuss.pytorch.kr/u/9bow)\ **댓글:** 0\ **마지막 업데이트:** [8월 3, 2026, 3:30오전 UTC](https://discuss.pytorch.kr/t/codex-security-openai-cli-sdk/11487 "2026-08-03T03:30:31Z")
Codex Security 소개 코드베이스가 커질수록 보안 취약점을 찾는 일은 소수의 보안 담당자에게 몰리기 마련입니다. 정적 분석 도구를 도입해도 오탐(false positive)이 쌓이면 결과 목록을 훑는 것 자체가 일이 되고, 정작 위험한 취약점은 검토 대기열에 묻히기 쉽습니다. 발견 이후도 문제입니다. 취약점이 실제로 재현되는지 확인하고, 수정 패치를 만들고, 고친 코드가 안전한지 다시 확인하는 과정 대부분이 여전히 수작업으로 남아 있기 때문입니다. Codex Security 는 이 흐름 전체를 다루는 OpenAI의 애플리케이션 보안 에이전트로, 코드의 보안 취약점을 찾고(find), 검증하고(validate), 수정(fix)하는 CLI와 TypeScript SDK를 오픈소스 npm 패키지 @openai/codex-security 로 제공합니다. 미리 정의된 시그니처 목록 대신 저장소별 위협 모델과 실제 코드 맥락을 바탕으로 취약점 후보를 찾고, 신호가 강한 발견은 격리된 환경에서 검증을 거친 뒤에야 결과로 보여줍니다. OpenAI는 이 접근을 "일반적인 시그니처 대신 저장소에 특화된 맥락(repo-specific context instead of generic signatures)" 이라는 문구로 요약합니다. 같은 스캐너를 Codex 데스크톱 앱의 Security 워크벤치, 터미널 CLI, TypeScript SDK, GitHub 저장소를 연동하는 Codex 클라우드(리서치 프리뷰)라는 네 가지 방식으로 쓸 수 있습니다. 스캔 결과는 SARIF·CSV·JSON으로 내보내 기존 보안 파이프라인과 연결되고, CI와 커밋 전(pre-commit) 훅에도 붙습니다. 본 게시물에서는 Codex Security의 동작 방식과 핵심 명령, SDK 사용법을 정리합니다. 기존 보안 스캐너와 Codex Security의 차이 규칙 기반 정적 분석(SAST) 도구는 빠르고 예측 가능하지만, 저장소의 구조나 인증 흐름 같은 맥락을 모른 채 패턴을 매칭하기 때문에…