코덱스 시큐리티 CLI로 디펜다봇 알림을 가져와 저장하는 법

코덱스 시큐리티(Codex Security) CLI는 다른 스캐너가 찾은 결과를 가져와 로컬에 저장하거나 클라우드(Daybreak)에 올릴 수 있다. 0.9.1(11월 10일)부터 기본으로 켜져 있고, 11월 12일에는 공식 문서에 가져오기 안내가 따로 생겼다. 여기서는 깃허브 디펜다봇 알림을 예로 든다.

1. 디펜다봇 알림을 내보낸다. 알림 읽기 권한이 있는 토큰으로 GET /repos/OWNER/REPO/dependabot/alerts?per_page=100을 마지막 페이지까지 받아, 한 페이지를 한 줄짜리 JSON 배열로 저장한다. 파일은 저장소 밖 개인 경로에 둔다.

2. 저장하기 전에 미리 본다.

npx @openai/codex-security publish findings /path/to/dependabot.jsonl \
  --to local --repository ./project --provider github \
  --source-key github.com/OWNER/REPO/dependabot --dry-run --format json

--source-key는 매번 같은 값을 써야 다시 가져올 때 같은 알림이 새로 쌓이지 않고 갱신된다. 체크아웃에 네트워크 원격 저장소가 있으면 그중 하나가 알림을 낸 저장소와 같아야 한다.

1. --dry-run을 빼고 다시 실행해 저장한 뒤, 가져온 목록을 본다.

npx @openai/codex-security publish findings /path/to/dependabot.jsonl \
  --to local --repository ./project --provider github \
  --source-key github.com/OWNER/REPO/dependabot

npx @openai/codex-security findings imported ./project --format json

가져온 발견은 not_assessed 상태로 시작한다. 새 보고서에 빠진 기존 발견은 지우지 않고 남긴다. 일부 레코드만 제외되면 미리 보기는 종료 코드 0, 저장은 1로 끝나고, 전부 제외되면 둘 다 2로 끝난다.

1. 팀과 나누려면 --to cloud로 바꾸고 --repository에 연결된 저장소 URL이나 클라우드 ID를 넣어 --dry-run --format json으로 다시 미리 본다. 클라우드 미리 보기에는 파일에 저장된 챗GPT 로그인이 있어야 한다. 결과에 privateImport가 있으면 내 개인 받은편지함에만 저장되고, requests에 적힌 항목은 거기 나온 저장소 환경에 공개된다. 목적지를 확인한 뒤에 --dry-run을 빼고 실행한다.