La revue de sécurité avec Codex : pull requests, analyses locales et CI

Ce que Codex fait pour la revue de sécurité

• Il vérifie chaque changement avant le merge : injections, autorisations manquantes, données exposées et secrets dans le code.
• Il analyse tout le dépôt selon un planning et rapporte ses résultats avec des preuves, pas de simples avertissements.
• Il transforme les résultats confirmés en correctifs ou en tickets, les plus graves d’abord.
• Il revérifie un correctif pour confirmer qu’il bouche bien la faille.

Les fonctionnalités de Codex pour la revue de sécurité

Comment configurer Codex pour la revue de sécurité

1. Connectez les outils

   Utilisez le plugin pour votre première analyse locale et la CLI pour les scripts et la CI. Les analyses qui utilisent les modèles d’OpenAI nécessitent un accès à Codex Security ; connectez-vous avec votre compte ChatGPT, et gardez les résultats hors du dépôt.

   # Se connecter, puis analyser un dépôt ; les résultats vont en dehors
   npx @openai/codex-security login
   npx @openai/codex-security scan /path/to/repo \
     --auth chatgpt --output-dir /path/outside/repo/results

2. Écrivez les règles dans AGENTS.md

   Codex lit AGENTS.md avant tout travail : ~/.codex/AGENTS.md, puis les fichiers de la racine du dépôt jusqu’au dossier où il travaille. Mettez-y les règles de la tâche, ou dans une skill sous .agents/skills/ si elles sont longues. Voir le guide d’AGENTS.md.

   ## Règles de revue de sécurité
   - Relis chaque pull request qui touche auth/, billing/ ou du SQL.
     Cherche les injections, les contrôles d’autorisation manquants,
     les secrets dans le code et les données renvoyées au mauvais
     utilisateur.
   - Classe chaque résultat en critique, élevé, moyen ou faible, avec
     le fichier, la ligne et la façon dont il pourrait être exploité.
   - Ne lance jamais d’exploit contre la production ou contre quoi que
     ce soit qui ne nous appartient pas. Lis le code et teste en local.
   - Ouvre les correctifs sous forme de pull requests ; ne pousse
     jamais sur main.

3. Lancez-le sans l’interface interactive

   codex exec exécute une tâche puis s’arrête. La progression part sur stderr et le message final sur stdout ; -o l’écrit aussi dans un fichier et --json diffuse les événements en flux. Le sandbox est en lecture seule sauf si vous passez --sandbox workspace-write.

   # Une passe de sécurité sur cette branche, avec vos règles d’AGENTS.md
   codex exec "Relis cette branche par rapport à main pour trouver les problèmes de sécurité, en suivant AGENTS.md"
   
   # Une analyse du dépôt depuis la CI, sans le tableau de bord en direct
   npx @openai/codex-security scan "$REPOSITORY" --auth chatgpt \
     --output-dir "$SCAN_DIR" --headless

4. Planifiez-le

   Créez une tâche planifiée dans l’application de bureau ChatGPT ou sur le web (la CLI ne les gère pas), ou lancez codex exec depuis cron. Voir comment rendre Codex proactif.

Source : documentation de Codex

Limites et sécurité

• Il lit le code de votre checkout, pas votre site en production : il ne repérera pas un serveur mal configuré.
• Les analyses ne sont pas déterministes : deux exécutions peuvent faire ressortir des résultats différents. Lancez-les régulièrement, pas une seule fois.
• Il complète vos scanners et vos alertes de dépendances. Il ne les remplace pas, pas plus qu’un test d’intrusion.
• Par défaut, Codex exécute les commandes dans un sandbox : les écritures restent dans l’espace de travail et le réseau est coupé. Réservez danger-full-access à un runner ou à un conteneur isolé.

Claude Code ou Codex pour la revue de sécurité ?

Les règles se transposent. Écrivez-les une fois dans AGENTS.md et mettez @AGENTS.md dans CLAUDE.md : les deux agents lisent alors le même fichier.

Pas à pas pour l’autre agent : la revue de sécurité avec Claude Code.

Confiez la revue de sécurité à quelqu’un dont c’est le travail

Les commandes tournent quand quelqu’un pense à les lancer. Crewmark transforme votre propre Codex en employé IA doté d’un rôle, d’un objectif chiffré, d’horaires de travail et d’une pulsation : le travail se fait selon un planning et apparaît sur un tableau.

1. Partez du rôle

   Prenez l’ingénieur logiciel IA et mettez ces règles dans sa fiche de poste.

2. Mettez le travail sur son tableau

   Ajoutez la tâche comme ticket récurrent. L’employé se réveille au rythme de sa pulsation, l’accomplit et rend compte dans un commentaire.

3. À voir aussi

   Pour les bugs qui ne relèvent pas de la sécurité, voir la revue de code.

FAQ