코덱스 시큐리티 CLI 딥 스캔으로 저장소 보안 취약점 찾는 법

오픈AI 코덱스 시큐리티(Codex Security) CLI 0.9.1(11월 10일)에서 딥 스캔(Deep Scan)이 바뀌었다. 여러 워커가 일반 스캔(Standard)을 묶음으로 나눠 돌리면서 조사 중인 단서를 서로 나누고 상대의 근거를 확인한다. 최종 보고서에는 고치는 방법이 같은 발견이 한데 묶이고, 리뷰마다 찾은 소스 위치가 모두 남는다.

1. 설치하고 로그인한다. 챗GPT 계정이나 API 키로 들어간다.

npm install --global @openai/codex-security
cs login

cs는 codex-security를 줄인 이름이다.

1. 저장소 폴더에서 딥 모드로 스캔한다.

cs scan . --mode deep --workers 2 --subagents 0 \
  --stop-after-no-new 3 --max-discovery-runs 10 --max-time 90

--workers는 한 묶음에 돌릴 일반 스캔 수이고 --subagents는 스캔 하나에 붙는 서브에이전트 수다. --stop-after-no-new는 새 발견 없이 끝난 스캔이 몇 번 이어지면 멈출지 정하고, --max-discovery-runs는 실패한 것까지 쳐서 시작할 스캔 수의 상한이다. --max-time은 분 단위다. 딥 스캔에서는 이 한도를 실제로 지키며, 기본값과 최댓값은 모두 5760분(96시간)이다. 시간이 다 되면 끝난 스캔에서 나온 발견만 돌려준다.

1. 스캔이 끝나면 REPORT 경로에 적힌 마크다운 보고서를 연다.

0.9.1부터 --stop-after-no-new는 발견을 하나도 보태지 못하고 끝난 일반 스캔이 연달아 몇 번인지 센다. 실행 길이에 맞춰 둔 스크립트가 있으면 --max-discovery-runs, --max-time과 함께 값을 다시 본다. Semgrep·Snyk·Trivy 같은 외부 스캐너 결과 가져오기도 기본으로 켜졌으니 실행 스크립트에서 CODEX_SECURITY_ENABLE_EXTERNAL_IMPORTS를 지운다.