Codex Security ahora supervisa tu código, pero no podrás habilitar esa supervisión sin la autorización de OpenAI.

OpenAI ha publicado el código fuente de una herramienta que busca vulnerabilidades en proyectos completos, comprueba los problemas detectados y propone correcciones. La novedad se puede ejecutar directamente en el equipo del desarrollador o integrar en la comprobación automática de código antes de lanzar actualizaciones.

La interfaz de línea de comandos y un conjunto de herramientas para TypeScript publicó el responsable de Codex en OpenAI, Thibaut Sottiaux. El paquete @openai/codex-security se distribuye bajo la licencia Apache 2.0. Los desarrolladores pueden examinar el código fuente, modificarlo e integrarlo en sus propios procesos. No obstante, el acceso al escáner en sí por ahora lo reciben solo los usuarios a los que OpenAI autorizó a trabajar con Codex Security.

La herramienta analiza todo el repositorio, carpetas individuales o solo los cambios respecto a la rama de Git seleccionada. Los resultados se guardan entre ejecuciones, de modo que los equipos pueden comparar hallazgos nuevos con comprobaciones anteriores, rastrear problemas ya conocidos y relanzar tareas incompletas.

Codex Security puede integrarse en el sistema de integración continua. El desarrollador establece el nivel de riesgo aceptable, tras lo cual la compilación falla si el escáner detecta un problema de ese nivel o superior. También está disponible la comprobación antes de confirmar cambios en Git. Un manejador integrado bloquea la operación si encuentra una vulnerabilidad peligrosa o si el propio escaneo falla.

Para funcionar se requieren Node.js 22 o superior y Python en versión 3.10 o superior. Se puede iniciar sesión con una cuenta de ChatGPT o con la clave de la API de OpenAI. El escáner es compatible con macOS, Linux y Windows, y exporta los resultados en JSON, CSV y SARIF. Este último formato lo usan muchos sistemas de análisis automático de código.

Los desarrolladores pueden proporcionar a Codex Security documentación arquitectónica, un modelo de amenazas y las reglas internas de seguridad. El sistema tiene en cuenta información sobre puntos de entrada, límites de confianza, datos confidenciales y las zonas más críticas del programa. Ese enfoque debería ayudar a distinguir una vulnerabilidad real de una advertencia formal que no se puede aplicar en la práctica.

Además de buscar problemas, el paquete incluye los comandos validate y patch. El primero intenta confirmar la vulnerabilidad encontrada y el segundo prepara una propuesta de corrección. Codex Security no modifica el código fuente por sí mismo. El cambio propuesto debe ser revisado por una persona antes de que el desarrollador pueda presentarlo como una solicitud para incluirlo en el proyecto.

OpenAI presentó Codex Security en marzo tras una prueba cerrada llamada Aardvark. Inicialmente el servicio se conectaba a repositorios de GitHub, construía un modelo de amenazas para el proyecto concreto, analizaba el historial de cambios e intentaba reproducir problemas sospechosos en un entorno aislado. El nuevo paquete traslada esas mismas capacidades al terminal y a los procesos automáticos de desarrollo.

La publicación abierta tiene una limitación importante. La compañía ha hecho público el código del contenedor y del kit de desarrollo, pero ha mantenido el control del acceso al escáner subyacente. Instalar el paquete o disponer de la clave de la API por sí solo no concede permiso para comprobaciones completas. Para algunos repositorios también puede ser necesario un acceso verificado a las funciones de protección de OpenAI.

La compañía advierte además que los archivos con los resultados pueden contener fragmentos de código fuente, descripciones de vulnerabilidades e instrucciones para reproducirlas. OpenAI aconseja almacenar ese material fuera del repositorio analizado y no publicarlo en sistemas de seguimiento de errores abiertos.

OpenAI Codex sitúa a la compañía en un mercado donde ya operan GitHub, Snyk, Semgrep, Checkmarx y Veracode. La diferencia principal que percibe la empresa no es tanto buscar coincidencias con reglas prefabricadas, sino analizar la estructura de una aplicación concreta y confirmar una ruta de ataque real. Hasta qué punto este enfoque será más preciso que los escáneres tradicionales aún no está claro. OpenAI no ha presentado comparaciones independientes de la nueva herramienta con sus competidores.