Codex로 하는 보안 리뷰: 풀 리퀘스트, 로컬 스캔, CI

보안 리뷰에서 Codex가 하는 일

• 머지 전에 변경마다 인젝션, 빠진 권한 검사, 노출된 데이터, 코드 속 시크릿을 확인합니다.
• 일정에 맞춰 저장소 전체를 스캔하고, 경고만 던지지 않고 근거와 함께 발견 사항을 보고합니다.
• 확인된 발견 사항을 심각한 것부터 패치나 이슈로 만듭니다.
• 수정을 다시 확인해 구멍이 막혔는지 검증합니다.

보안 리뷰에 쓰는 Codex 기능

보안 리뷰용 Codex 설정 방법

1. 도구 연결하기

   첫 로컬 스캔에는 플러그인을, 스크립트와 CI에는 CLI를 쓰세요. OpenAI 모델을 쓰는 스캔에는 Codex Security 접근 권한이 필요합니다. ChatGPT 계정으로 로그인하고, 결과는 저장소 밖에 두세요.

   # 로그인한 다음 저장소 스캔. 결과는 저장소 밖에 저장
   npx @openai/codex-security login
   npx @openai/codex-security scan /path/to/repo \
     --auth chatgpt --output-dir /path/outside/repo/results

2. AGENTS.md에 규칙 쓰기

   Codex는 일을 시작하기 전에 AGENTS.md를 읽습니다. 먼저 ~/.codex/AGENTS.md를, 이어서 저장소 루트부터 작업 중인 폴더까지의 파일을 읽습니다. 이 일의 규칙을 여기에 넣거나, 길다면 .agents/skills/ 아래 스킬로 만드세요. AGENTS.md 가이드를 참고하세요.

   ## 보안 리뷰 규칙
   - auth/, billing/ 또는 SQL을 건드리는 풀 리퀘스트는 모두 리뷰하세요.
     인젝션, 빠진 권한 검사, 코드 속 시크릿, 엉뚱한 사용자에게
     반환되는 데이터를 찾으세요.
   - 발견 사항마다 Critical, High, Medium, Low 중 하나로 등급을
     매기고 파일, 줄, 악용 방법을 적으세요.
   - 프로덕션이나 우리 소유가 아닌 대상에는 절대 익스플로잇을
     실행하지 마세요. 코드를 읽고 로컬에서 테스트하세요.
   - 수정은 풀 리퀘스트로 여세요. main에 직접 푸시하지 마세요.

3. 대화형 화면 없이 실행하기

   codex exec 명령은 작업 하나를 실행하고 종료합니다. 진행 상황은 stderr로, 최종 메시지는 stdout으로 나옵니다. -o는 최종 메시지를 파일에도 쓰고 --json은 이벤트를 스트리밍합니다. --sandbox workspace-write를 넘기지 않으면 샌드박스는 읽기 전용입니다.

   # AGENTS.md의 규칙으로 이 브랜치 보안 점검
   codex exec "AGENTS.md에 따라 이 브랜치를 main과 비교해 보안 문제를 리뷰해 줘"
   
   # 실시간 대시보드 없이 CI에서 저장소 스캔
   npx @openai/codex-security scan "$REPOSITORY" --auth chatgpt \
     --output-dir "$SCAN_DIR" --headless

4. 일정에 올리기

   ChatGPT 데스크톱 앱이나 웹에서 예약 작업을 만들거나(CLI로는 관리할 수 없습니다), cron에서 codex exec 명령을 실행하세요. Codex를 능동적으로 만드는 방법을 참고하세요.

출처: Codex 문서

한계와 안전

• 실행 중인 사이트가 아니라 체크아웃의 코드를 읽으므로, 잘못 설정된 서버는 잡지 못합니다.
• 스캔 결과는 비결정적이어서 두 번 돌리면 다른 발견 사항이 나올 수 있습니다. 한 번이 아니라 정기적으로 돌리세요.
• 기존 스캐너와 의존성 알림을 보완할 뿐, 그것들이나 모의 해킹을 대신하지 않습니다.
• Codex는 기본적으로 명령을 샌드박스 안에서 실행합니다. 쓰기는 워크스페이스 안에서만 되고 네트워크는 꺼져 있습니다. danger-full-access는 격리된 러너나 컨테이너에서만 쓰세요.

보안 리뷰에는 Claude Code와 Codex 중 무엇을 쓸까요?

규칙은 그대로 옮겨 쓸 수 있습니다. AGENTS.md에 한 번 쓰고 CLAUDE.md에 @AGENTS.md를 넣으면 두 에이전트가 같은 파일을 읽습니다.

다른 에이전트용 단계별 안내: Claude Code에서 하는 보안 리뷰.

보안 리뷰 담당자 두기

명령어는 누군가 기억해서 실행할 때만 돌아갑니다. Crewmark는 내 Codex 세션을 역할, 숫자로 된 목표, 근무 시간, 하트비트를 갖춘 AI 직원으로 바꿔, 일이 일정에 맞춰 진행되고 보드에 올라오게 합니다.

1. 역할에서 시작하기

   AI 소프트웨어 엔지니어의 브리프에 이 규칙을 넣으세요.

2. 일을 보드에 올리기

   이 일을 반복 이슈로 추가하세요. 직원이 하트비트에 깨어나 일을 하고 댓글로 보고합니다.

3. 관련 페이지

   보안 문제가 아닌 버그는 코드 리뷰를 참고하세요.

자주 묻는 질문