一句话看懂：OpenAI 在 GitHub 发布 codex-security，提供命令行工具 cs 和 TypeScript SDK，把 AI 代码安全扫描、验证与修复做成可自动化的开发流程，并接入 CI 与 GitHub Action。
事件核心：发生了什么
OpenAI 上线了 codex-security 项目，定位是帮助开发者发现、调查并修复代码漏洞。它有三种使用方式：在 Codex 会话中启用安全插件并选择工作流；在终端全局安装 @openai/codex-security，用 cs scan 扫描仓库；在自动化场景中使用 TypeScript SDK 或 GitHub Action。扫描范围支持指定路径（–path）、从基线版本到 HEAD 的 Git 变更（–diff），以及重复标准扫描并去重结果的深度扫描（–mode deep）。工具还能生成补丁、验证已有修复、起草 SECURITY.md 威胁模型，并把发现导出为 SARIF、JSON 或 CSV，或同步到 Linear、Jira、GitHub。运行环境要求 Node.js 22.13 及以上（22.x）或 24.x/26.x，Python 3.10 及以上。
为什么重要
代码安全一直是 AI 编程助手较少深入覆盖的环节：多数产品聚焦生成和补全代码，而漏洞扫描、候选发现验证和补丁闭环往往依赖额外的静态分析或商业安全平台。codex-security 把这一链路封装成 CLI 和 SDK，并明确支持 CI 与容器环境，意味着 OpenAI 正把 Codex 的能力从编码延伸到安全审计这一企业刚需场景。对安全工具市场而言，这也会增加一类“大模型驱动的扫描 + 修复”竞争者。
对用户/开发者/创作者的影响
开发者可以用 npx 免全局安装快速试跑，或把 OPENAI_API_KEY/CODEX_API_KEY 配进 CI，实现提交级扫描。SDK 返回 reportPath 等结果，便于接入自有流水线。团队还可用 cs policy 基于现有架构文档起草安全策略。需要注意，部分网络安全请求和受保护发现被限定在 Trusted Access for Cyber 账号下，普通用户可用的功能范围目前公开信息显示存在分级。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是 cs scan 的实际误报率与修复补丁质量，是否经得起真实仓库验证；二是 Codex Security Cloud 的开放范围与计费方式；三是 GitHub Action 和第三方扫描器导入能否形成稳定的开发者生态。
