Security-Review mit Codex: Pull Requests, lokale Scans und CI

Was Codex für Security-Review erledigt

• Prüft jede Änderung vor dem Merge auf Injection, fehlende Autorisierung, offengelegte Daten und Secrets im Code.
• Scannt das ganze Repository nach Zeitplan und meldet Funde mit Belegen, nicht als bloße Warnungen.
• Macht aus bestätigten Funden Patches oder Issues, die schwersten zuerst.
• Prüft einen Fix noch einmal, um sicherzugehen, dass er die Lücke schließt.

Funktionen von Codex für Security-Review

So richtest du Codex für Security-Review ein

1. Verbinde die Tools

   Nutze das Plugin für deinen ersten lokalen Scan und die CLI für Skripte und CI. Scans mit den Modellen von OpenAI brauchen Zugang zu Codex Security; melde dich mit deinem ChatGPT-Konto an und speichere die Ergebnisse außerhalb des Repositorys.

   # Anmelden, dann ein Repository scannen; die Ergebnisse landen außerhalb davon
   npx @openai/codex-security login
   npx @openai/codex-security scan /path/to/repo \
     --auth chatgpt --output-dir /path/outside/repo/results

2. Schreib die Regeln in die AGENTS.md

   Codex liest die AGENTS.md vor jeder Arbeit: zuerst ~/.codex/AGENTS.md, dann die Dateien vom Root des Repositorys bis zu dem Ordner, in dem es arbeitet. Schreib die Regeln der Aufgabe dort hinein oder, wenn sie lang sind, in einen Skill unter .agents/skills/. Siehe den AGENTS.md-Leitfaden.

   ## Regeln für das Security-Review
   - Reviewe jeden Pull Request, der auth/, billing/ oder SQL berührt.
     Achte auf Injection, fehlende Berechtigungsprüfungen, Secrets im
     Code und Daten, die beim falschen Nutzer landen.
   - Stufe jeden Fund als Critical, High, Medium oder Low ein, mit
     Datei, Zeile und wie er ausgenutzt werden könnte.
   - Führ nie Exploits gegen Produktion oder gegen etwas aus, das uns
     nicht gehört. Lies den Code und teste lokal.
   - Öffne Fixes als Pull Requests; push nie auf main.

3. Führ es ohne die interaktive Oberfläche aus

   codex exec führt eine Aufgabe aus und beendet sich. Der Fortschritt geht nach stderr, die letzte Nachricht nach stdout; -o schreibt sie zusätzlich in eine Datei, und --json streamt Events. Die Sandbox ist schreibgeschützt, außer du gibst --sandbox workspace-write an.

   # Ein Security-Durchgang auf diesem Branch, mit deinen Regeln aus AGENTS.md
   codex exec "Prüf diesen Branch gegen main auf Sicherheitsprobleme, nach den Regeln in AGENTS.md"
   
   # Ein Repository-Scan aus CI, ohne das Live-Dashboard
   npx @openai/codex-security scan "$REPOSITORY" --auth chatgpt \
     --output-dir "$SCAN_DIR" --headless

4. Bring es in einen Zeitplan

   Leg eine geplante Aufgabe in der ChatGPT-Desktop-App oder im Web an (die CLI verwaltet keine) oder starte codex exec per cron. Siehe Codex proaktiv machen.

Quelle: Dokumentation von Codex (Englisch)

Grenzen und Sicherheit

• Es liest den Code in deinem Checkout, nicht deine laufende Website, und findet daher keinen falsch konfigurierten Server.
• Scans sind nicht deterministisch: Zwei Läufe können unterschiedliche Funde liefern. Lass sie regelmäßig laufen, nicht nur einmal.
• Es ergänzt deine Scanner und Dependency-Warnungen. Es ersetzt weder sie noch einen Penetrationstest.
• Codex führt Befehle standardmäßig in einer Sandbox aus: Schreibzugriffe bleiben im Workspace, das Netzwerk ist aus. Nutze danger-full-access nur auf einem isolierten Runner oder in einem Container.

Claude Code oder Codex für Security-Review?

Die Regeln lassen sich mitnehmen. Schreib sie einmal in die AGENTS.md und setz @AGENTS.md in die CLAUDE.md, dann lesen beide Agenten dieselbe Datei.

Schritt für Schritt für den anderen Agenten: Security-Review mit Claude Code.

Mach Security-Review zur festen Aufgabe

Befehle laufen, wenn jemand daran denkt, sie auszuführen. Crewmark macht aus deinem eigenen Codex einen KI-Mitarbeiter mit Rolle, einem Ziel in Zahlen, Arbeitszeiten und einem Heartbeat, damit die Arbeit nach Zeitplan passiert und auf einem Board sichtbar wird.

1. Fang mit der Rolle an

   Der KI-Softwareentwickler, mit diesen Regeln in seiner Rollenbeschreibung.

2. Bring die Arbeit auf sein Board

   Leg die Aufgabe als wiederkehrendes Issue an. Der Mitarbeiter wacht per Heartbeat auf, erledigt sie und berichtet in einem Kommentar.

3. Mehr dazu

   Für Bugs, die keine Sicherheitsprobleme sind, siehe Code-Review.

FAQ