본문으로 건너뛰기
피드

오픈AI, 코드 취약점 찾고 고치는 `Codex Security` 공개

security 약 4분
vote
0
댓글
북마크

오픈AI가 코드 저장소의 보안 취약점을 찾고, 검증하고, 수정까지 도와주는 `Codex Security`를 공개했어. CLI와 TypeScript SDK 형태로 제공되고, CI에서도 `OPENAI_API_KEY`로 보안 검사를 돌릴 수 있게 설계돼 있어.

  • 1

    CLI와 TypeScript SDK로 저장소 스캔, 변경 리뷰, 취약점 추적, CI 보안 검사를 지원함

  • 2

    Node.js 22 이상, Python 3.10 이상, Codex Security 접근 권한이 필요함

  • 3

    CI에서는 로그인 대신 `OPENAI_API_KEY`를 쓰고, 스캔 기록은 별도 워크벤치 상태 디렉터리에 저장됨

  • 오픈AI가 @openai/codex-security라는 보안 도구를 공개함

    • 코드 저장소를 스캔해서 취약점을 찾고, 발견된 이슈를 검증하고, 수정까지 이어가는 CLI와 TypeScript SDK임
    • 단발성 스캔만 하는 게 아니라 변경 리뷰, 발견 내역 추적, CI 보안 검사까지 염두에 둔 구성임
  • 실행 조건은 꽤 최신 런타임을 요구함

    • Node.js 22 이상, Python 3.10 이상이 필요함
    • 별도로 Codex Security 접근 권한도 있어야 해서, 그냥 설치하면 누구나 바로 쓰는 공개 도구와는 결이 조금 다름
  • CI에서는 로그인 대신 API 키를 쓰는 방식임

    • 문서상 CI 환경에서는 ChatGPT 로그인 대신 OPENAI_API_KEY를 설정하라고 안내함
    • ChatGPT 로그인과 API 키가 둘 다 있으면 인터랙티브 스캔에서는 어떤 인증 정보를 쓸지 묻고, 비대화형 스캔에서는 기존처럼 API 키 우선순위를 유지함

💡

> 로컬에서 ChatGPT 로그인을 기본값으로 쓰고 싶으면 설정된 API 키를 unset하라는 안내가 있음. 개인 개발 환경과 CI 환경의 인증 방식을 분리하라는 의미로 보면 됨.

  • 스캔 기록은 저장소 안이 아니라 워크벤치 상태 디렉터리에 저장됨
    • 해당 디렉터리에 쓸 수 없으면 CODEX_SECURITY_STATE_DIR를 저장소 바깥의 쓰기 가능한 경로로 지정해야 함
    • 보안 스캔 결과가 저장소 파일과 섞이지 않게 하려는 의도가 읽힘

기술 맥락

  • 여기서 핵심 선택은 보안 검사를 CLI와 SDK 양쪽으로 열어둔 점이에요. CLI는 개발자나 CI가 바로 붙이기 좋고, TypeScript SDK는 회사 내부 대시보드나 코드 리뷰 봇 같은 도구에 통합하기 좋거든요.

  • CI에서 OPENAI_API_KEY를 쓰라고 못 박은 것도 실무적으로 중요해요. 배포 파이프라인은 사람이 브라우저로 로그인할 수 없으니, 비대화형 환경에서는 키 기반 인증이 사실상 표준이에요.

  • 스캔 히스토리를 워크벤치 상태 디렉터리에 두는 설계는 저장소를 깨끗하게 유지하려는 쪽에 가까워요. 취약점 추적 정보는 필요하지만, 그게 소스 트리에 섞이면 리뷰 노이즈나 권한 관리 문제가 생길 수 있거든요.

AI 코드 도구가 자동완성에서 보안 검토 쪽으로 확장되는 흐름이 꽤 선명해졌어. 특히 CI에 붙일 수 있다는 건 ‘개발자가 필요할 때만 쓰는 도구’가 아니라 배포 파이프라인 일부로 들어가겠다는 얘기라서 눈여겨볼 만함.

댓글

댓글

댓글을 불러오는 중...

security

애플, macOS Tahoe 26.6에서 커널·WebKit·샌드박스 취약점 대량 패치

애플이 macOS Tahoe 26.6 보안 업데이트에서 커널, WebKit, ImageIO, SMB, HFS, CUPS, Gatekeeper 등 macOS 전반의 취약점을 대거 수정했다. 눈에 띄는 건 단순 앱 크래시 수준을 넘어서 root 권한 상승, 샌드박스 탈출, 커널 메모리 손상, 민감 데이터 접근 같은 운영 환경에서 바로 신경 써야 할 이슈가 많이 포함됐다는 점이다.

security

마이크로소프트, 보안 취약점 찾는 AI 모델 ‘MAI-사이버-1-플래시’를 MDASH에 투입

마이크로소프트가 보안 취약점 식별·수정 하네스 MDASH 안에 MAI-Cyber-1-Flash를 통합했다고 발표했다. 이 모델은 전체 작업의 최대 90퍼센트를 저렴하게 처리하고, 정말 어려운 10퍼센트만 GPT-5.4 같은 고비용 모델에 넘기는 구조로 CyberGym 96퍼센트와 비용 50퍼센트 절감을 내세운다.

security

언더스코어 하나 빠져서 무고한 사람이 18개월 감옥 간 사건

미국 위스콘신에서 시작된 아동 유인 수사가 캐나다 핼리팩스까지 이어졌는데, 경찰이 Kik 사용자명에서 언더스코어 하나를 빠뜨린 채 기록을 요청하면서 완전히 다른 사람이 용의자로 몰렸어. 기기 압수수색에서도 범죄 증거가 나오지 않았지만 브랜든 클레이미는 유죄 판결을 받고 18개월을 모두 복역했고, 항소 준비 과정에서야 사용자명 오류가 발견돼 무죄가 확정됐어.

security

파수 AI, DSPM 지원 범위에 원드라이브·쉐어포인트·아웃룩 추가

파수 AI가 데이터 보안 관리 솔루션 ‘파수 DSPM’의 지원 범위를 구글 워크스페이스에서 원드라이브, 쉐어포인트, 아웃룩, 슬랙까지 넓혔다. 멀티클라우드와 사스 앱에 흩어진 개인정보·민감정보를 자동으로 찾아내고 위험도를 관리하는 쪽에 초점이 맞춰져 있다.

security

마이크로소프트, AI 보안 에이전트 ‘프로젝트 퍼셉션’ 공개

마이크로소프트가 AI 시대 보안 위협에 대응하기 위한 에이전틱 보안 시스템 ‘프로젝트 퍼셉션’을 발표했고, 8월 3일 퍼블릭 프리뷰로 제공된다. 레드팀, 블루팀, 그린팀 에이전트와 멀티모델 아키텍처를 결합해 취약점 탐지부터 보호 조치까지 연결하겠다는 구상이다. 다만 기사에서는 기존 보안 제품과의 중복, 실제 제공 형태의 불명확함, 경쟁 AI 보안 도구 대비 차별성이 관전 포인트라고 짚는다.