OpenAI ha reso disponibile Codex Security CLI come progetto open source, uno strumento da riga di comando pensato per andare a caccia di vulnerabilità nei repository software. La sigla CLI sta per command-line interface, e il compito di questo programma è chiaro: cercare falle nel codice, verificare se i problemi segnalati sono davvero sfruttabili, controllare le correzioni e inserire verifiche automatiche nei processi di sviluppo. Curioso il modo in cui è uscito allo scoperto. Nessun annuncio ufficiale da parte dell’azienda, eppure alcuni utenti hanno già trovato e segnalato il repository pubblico su GitHub.
La mossa arriva dopo anni in cui l’analisi statica del codice ha fatto da principale meccanismo automatizzato per intercettare gli errori di sicurezza. Gli strumenti tradizionali vanno a caccia di pattern noti, chiamate pericolose, flussi di dati sospetti e violazioni di regole prestabilite. Funzionano bene sui casi riconoscibili, questo è vero, ma tendono a produrre falsi positivi e a lasciarsi scappare quelle vulnerabilità che saltano fuori solo collegando più componenti, configurazioni e passaggi applicativi. Codex Security prova a cambiare prospettiva. Non si limita a confrontare il codice con un elenco fisso di firme, ma tenta di ragionare sul funzionamento dell’applicazione, sulle superfici esposte e sui percorsi che un attaccante potrebbe seguire. OpenAI lo presenta come un assistente per i team di sicurezza e sviluppo, mai come un rimpiazzo della revisione umana.
Cosa contiene il repository e come si installa
Il repository su GitHub include una CLI e un SDK TypeScript distribuiti con licenza Apache 2.0. Gli sviluppatori possono quindi esaminare il codice del client, proporre modifiche, integrarlo nei propri strumenti e costruire automazioni senza restare legati a un’interfaccia grafica. C’è però un dettaglio da chiarire subito. Open source non vuol dire che l’intero servizio giri offline o che i modelli sottostanti siano eseguibili liberamente. Il programma installato sul computer coordina la scansione, prepara gli input, conserva gli artefatti e dialoga con Codex Security. Per far partire le analisi servono credenziali valide e l’accesso alla funzionalità.
Per l’installazione servono Node.js 22 o una versione più recente, mentre per eseguire una scansione o esportare i risultati occorre anche Python 3.10 o superiore. Il repository indica di passare dal pacchetto npm ufficiale con npm install @openai/codex-security. Fatto questo, l’autenticazione interattiva parte con npx codex-security login. Su un server senza interfaccia grafica si può ricorrere alla modalità device authentication tramite l’opzione –device-auth, mentre nei job automatici OpenAI consiglia di impostare la variabile d’ambiente OPENAIAPIKEY. Quando sul computer convivono l’accesso ChatGPT e una chiave API, la CLI chiede quale usare, con la possibilità di forzare la scelta con –auth chatgpt oppure –auth api-key. Il comando più immediato per analizzare la cartella corrente è npx codex-security scan. Prima di lanciare una scansione vera vale la pena usare –dry-run, che controlla percorsi, destinazioni e parametri senza avviare Codex o interrogare Python, così da scovare subito errori banali come un percorso sbagliato.
Cosa produce la scansione e le modalità disponibili
Una scansione standard esamina il repository indicato e restituisce un rapporto con vulnerabilità, gravità, attendibilità, posizione nel codice, dettagli tecnici e possibili rimedi. Il file report.md offre una versione leggibile del risultato, findings.json raccoglie i rilievi con gravità e stima della precisione, scan-manifest.json descrive il bersaglio e gli artefatti, coverage.json registra le aree esaminate, quelle escluse e le domande rimaste aperte. Proprio la misura esplicita della copertura merita attenzione. Il valore può risultare complete, partial oppure unknown. Uno scanner che segnala zero vulnerabilità ma ammette di aver controllato solo una parte del progetto non offre la stessa garanzia di una revisione completa, e questo è un punto che molti sistemi di controllo tendono a nascondere.
La CLI non costringe a riesaminare ogni volta tutto il progetto. Con l’opzione –path si possono selezionare servizi o pacchetti specifici, comodo nei repository che raccolgono decine di applicazioni indipendenti. Un team potrebbe concentrarsi solo sul servizio di autenticazione o sul modulo dei pagamenti. Con –diff e –head Codex Security confronta due revisioni Git, mentre per analisi più ampie c’è la modalità deep, richiamabile con –mode deep. OpenAI la propone per le sezioni che richiedono un esame più approfondito, tenendo presente che può aumentare il lavoro svolto, la durata e il costo delle richieste inviate ai modelli. La CLI accetta inoltre documenti di architettura, modelli delle minacce e policy aziendali tramite l’opzione –knowledge-base.