Codex Security 점검과 PR Security Review
‘보안’ 문서라는 이름 아래 서로 다른 기능이 있습니다. Codex의 sandbox/승인은 에이전트 실행 권한을 다루고, Codex Security는 애플리케이션의 취약점을 조사하는 제품군입니다. 일반 코드 리뷰와 Security Review도 목적과 게시 기준이 다릅니다.
공식 문서를 참고한 비공식 한국어 가이드입니다. 스캔·플러그인 설치·PR 댓글 게시·실제 취약점 재현은 하지 않았습니다. 소유하거나 명시적으로 허가받은 저장소에서만 점검하고, 운영 서비스·외부 시스템에 대한 공격이나 무단 검증으로 범위를 넓히지 않습니다.
어떤 경로가 필요한가
Cloud scanner는 별도 plugin의 research preview 조건과 GitHub/workspace 접근, 호환 환경이 필요합니다. 로컬 plugin은 앱 또는 CLI에서 수행하는 경로이고 standalone codex-security와 SDK는 별도 자동화입니다.
공식 제품 개요와 현재 계정의 사용 가능 범위를 먼저 확인합니다. 일반 Codex를 설치했다는 사실만으로 Security access나 필요한 runtime이 준비된 것은 아닙니다. 보안 검토 결과는 소스와 취약점 세부사항을 포함할 수 있으므로 저장 위치와 접근 권한도 정합니다.
로컬 플러그인 시작 전
앱의 Plugins에서 Codex Security를 찾고, Security > Scans에서 새 scan을 여는 흐름이 안내됩니다. CLI는 /plugins로 설치한 뒤 새 chat에서 요청합니다. 최초 standard scan은 Codebase와 Deep scan off, 대상 범위·branch·revision을 확인하는 순서입니다.
이 연습 저장소의 인증 경계를 standard 범위로 조사하고 보고서를 작성해 줘.
외부 서비스 요청·실제 사용자 데이터·운영 자격 증명은 사용하지 마.
발견 후보마다 소스 근거와 재현 여부를 구분하고 코드 수정은 하지 마.
합성 요청의 기대 결과는 검토 가능한 보고서입니다. source analysis로 검증한 후보를 실제 runtime reproducer를 실행한 사실로 바꾸지 않습니다. Deep scan은 시간·비용·범위를 따로 검토한 뒤 선택합니다.
버전과 모델은 별도 확인
Codex host, marketplace plugin, standalone package의 bundled plugin은 별도 버전입니다. 패키지 하나를 업데이트했다고 모두 바뀌는 것이 아닙니다. 원문 사이에 모델 예시가 다를 수 있으므로 특정 모델을 모든 계정의 최신 권장값으로 확정하지 않습니다.
scan 완료나 finding 없음은 모든 파일의 coverage 또는 무취약성 증명이 아닙니다. 범위와 제외, warning, deferred 조사, 증거의 깊이를 함께 확인합니다. 오탐으로 판단할 때도 안전하다는 근거와 남은 가정을 기록합니다.
PR Security Review
공식 Security Review는 지원 플랜을 따로 명시하며 GitHub PR diff와 supporting code를 검토합니다. 설정의 Review security vulnerabilities에서 대상과 trigger를 선택하고 수동 요청 형식은 @codex security review입니다. 실제 댓글 게시 자체가 외부 실행을 시작시키므로 승인 없이 시험하지 않습니다.
Team PRs는 GitHub team이 아니라 ChatGPT workspace 구성원의 PR을 가리킵니다. 자동/수동 게시 severity 기준이 다르며, 댓글이 없으면 연결된 task의 Security Report를 확인합니다. 공개 PR에 게시된 취약점 내용은 PR의 공개 범위를 따릅니다.
결과를 수정으로 연결
발견 후보를 검증한 뒤 최소 수정과 회귀 테스트, 전체 관련 검증을 수행합니다. 보고서가 있다는 이유로 자동 merge하지 않으며, 민감한 취약점은 공개 댓글보다 조직의 보고 절차를 우선합니다. scanner의 OS 권한과 CI의 fail-closed 판정은 보안 CI를 봅니다.
공식 한국어 도움말: ChatGPT 플랜과 Codex에서 계정별 이용 안내를 확인할 수 있습니다. 이 글은 해당 도움말의 공식 번역이 아니며 계정 조건과 요금은 공식 안내를 우선합니다.
추가 공식 참조
다음은 관련 세부 기능과 전체 참조 문서입니다. 아래 항목은 원문 전체를 한국어로 설명하거나 실행 검증한 범위가 아닙니다. 적용 조건과 정확한 옵션은 공식 원문을 확인하세요.
- Models and Trusted Access
- Recommended configuration
- Codex Security Cloud FAQ
- Codex Security plugin changelog
- Review code changes for security
- Run a deep security scan
- Export and track security findings
- Fix and verify security findings
- Run a Codex Security scan
- Propose security hardening
- Triage a backlog
- Write vulnerability reports
- Use the Codex Security workbench
- Codex Security Cloud setup
- Improve the Cloud threat model