OpenAI ha liberado como código abierto Codex Security, una herramienta de línea de comandos y un SDK de TypeScript diseñados para ayudarte a encontrar, validar y corregir vulnerabilidades de seguridad en tus bases de código.

El lanzamiento marca un paso notable para integrar el análisis de seguridad impulsado por IA en los flujos de trabajo de desarrollo diarios, permitiendo que los equipos escaneen repositorios, revisen solicitudes de extracción (pull requests) e incorporen comprobaciones automatizadas directamente en pipelines de CI/CD.

Construido sobre el agente de codificación ligero Codex, Codex Security entró en fase de vista previa de investigación en marzo de 2026 y ahora está disponible bajo la licencia Apache-2.0, habiendo ganado ya aproximadamente 1,5k estrellas en GitHub.

La herramienta, publicada como el paquete npm @openai/codex-security, utiliza modelos de IA para el análisis contextual en lugar de basarse únicamente en la coincidencia de patrones tradicionales. Este enfoque le permite evaluar cómo se comporta el código en contexto, sacar a la luz hallazgos significativos y proponer parches que tú y tu equipo podéis revisar y aplicar.

Los primeros usuarios en Hacker News y X han destacado su potencial en un momento en que la generación de código asistida por IA se está acelerando y los equipos de seguridad necesitan formas más rápidas de seguir el ritmo del nuevo código. Surgieron algunos fallos iniciales de autenticación tras el lanzamiento, pero OpenAI los solucionó rápidamente, reforzando la confianza en el impulso inicial del proyecto.

Empezar es sencillo. Codex Security requiere Node.js 22 o posterior, Python 3.10 o posterior y acceso a Codex Security. La instalación se realiza con un único comando de npm: npm install @openai/codex-security.

Después de eso, puedes autenticarte con npx codex-security login y ejecutar un escaneo con npx codex-security scan. El uso básico no requiere una suscripción a ChatGPT Plus.

Una clave de API de OpenAI desbloquea todas las capacidades de escaneo y es la ruta preferida para entornos automatizados. En los pipelines de CI, los equipos simplemente configuran la variable de entorno OPENAI_API_KEY en lugar de completar un inicio de sesión interactivo.

Cuando coinciden una sesión de ChatGPT y una clave de API, los escaneos interactivos te pedirán que elijas una credencial, mientras que las ejecuciones no interactivas darán prioridad a la clave de API.

También puedes forzar un método específico con banderas como --auth chatgpt o --auth api-key. Para que ChatGPT sea el predeterminado, puedes eliminar cualquier clave de API configurada.

El historial de escaneos se almacena en el directorio de estado del workbench de Codex Security. Si esa ubicación no tiene permisos de escritura, la variable de entorno CODEX_SECURITY_STATE_DIR puede apuntar a un directorio escribible fuera del repositorio.

Para los equipos que prefieren el control programático, OpenAI también suministra un SDK de TypeScript. Un script corto puede instanciar CodexSecurity, ejecutar un escaneo en el directorio actual, registrar la ruta del informe generado y cerrar el cliente correctamente.

Para los ingenieros de seguridad y los equipos de desarrollo, el valor práctico reside en ciclos de retroalimentación más estrechos. En lugar de esperar revisiones manuales periódicas o ejecuciones lentas de análisis estático, Codex Security puede examinar los cambios a medida que se implementan, rastrear los hallazgos a lo largo del tiempo y sugerir correcciones basadas en el código circundante.

Esa combinación de escaneo de repositorios, revisión de pull-requests e integración de pipelines posiciona a la herramienta como una adición útil a los programas modernos de seguridad de aplicaciones, especialmente a medida que las organizaciones adoptan asistentes de codificación de IA a escala.

A medida que la vista previa de investigación madure, es probable que la adopción más amplia y los comentarios de la comunidad definan cómo el descubrimiento de vulnerabilidades asistido por IA se convierta en una parte estándar de la entrega de software seguro.