Revisión de seguridad con Codex: pull requests, escaneos locales y CI

Qué hace Codex para revisión de seguridad

• Revisa cada cambio antes del merge en busca de inyecciones, autorizaciones que faltan, datos expuestos y secretos en el código.
• Escanea todo el repositorio según un horario e informa de los hallazgos con pruebas, no con avisos sueltos.
• Convierte los hallazgos confirmados en parches o issues, empezando por los más graves.
• Vuelve a comprobar un arreglo para confirmar que cierra el agujero.

Funciones de Codex para revisión de seguridad

Cómo configurar Codex para revisión de seguridad

1. Conecta las herramientas

   Usa el plugin para tu primer escaneo local y la CLI para scripts y la CI. Los escaneos que usan los modelos de OpenAI necesitan acceso a Codex Security; inicia sesión con tu cuenta de ChatGPT y guarda los resultados fuera del repositorio.

   # Inicia sesión y escanea un repositorio; los resultados van fuera de él
   npx @openai/codex-security login
   npx @openai/codex-security scan /path/to/repo \
     --auth chatgpt --output-dir /path/outside/repo/results

2. Escribe las reglas en AGENTS.md

   Codex lee AGENTS.md antes de empezar a trabajar: ~/.codex/AGENTS.md y después los archivos desde la raíz del repositorio hasta la carpeta en la que trabaja. Pon ahí las reglas del trabajo, o en una skill dentro de .agents/skills/ si son largas. Consulta la guía de AGENTS.md.

   ## Reglas de revisión de seguridad
   - Revisa cada pull request que toque auth/, billing/ o SQL.
     Busca inyecciones, comprobaciones de autorización que faltan,
     secretos en el código y datos devueltos al usuario equivocado.
   - Clasifica cada hallazgo como Critical, High, Medium o Low, con el
     archivo, la línea y cómo podría explotarse.
   - Nunca lances exploits contra producción ni contra nada que no sea
     nuestro. Lee el código y prueba en local.
   - Abre los arreglos como pull requests; nunca hagas push a main.

3. Ejecútalo sin la interfaz interactiva

   codex exec ejecuta una tarea y termina. El progreso va a stderr y el mensaje final a stdout; -o también lo escribe en un archivo y --json emite los eventos en streaming. El sandbox es de solo lectura salvo que pases --sandbox workspace-write.

   # Una pasada de seguridad en esta rama, con tus reglas de AGENTS.md
   codex exec "Revisa esta rama frente a main en busca de problemas de seguridad, siguiendo AGENTS.md"
   
   # Un escaneo del repositorio desde la CI, sin el panel en directo
   npx @openai/codex-security scan "$REPOSITORY" --auth chatgpt \
     --output-dir "$SCAN_DIR" --headless

4. Ponlo en un horario

   Crea una tarea programada en la app de escritorio de ChatGPT o en la web (la CLI no las gestiona), o ejecuta codex exec desde cron. Consulta cómo hacer que Codex sea proactivo.

Fuente: documentación de Codex

Límites y seguridad

• Lee el código de tu checkout, no tu web en marcha, así que no detectará un servidor mal configurado.
• Los escaneos no son deterministas: dos ejecuciones pueden encontrar cosas distintas. Ejecútalos con regularidad, no una sola vez.
• Se suma a tus escáneres y a las alertas de dependencias. No los sustituye, ni tampoco a una prueba de penetración.
• Codex ejecuta los comandos en un sandbox por defecto: las escrituras se quedan en el workspace y la red está desactivada. Reserva danger-full-access para un runner o un contenedor aislado.

¿Claude Code o Codex para revisión de seguridad?

Las reglas sirven para los dos. Escríbelas una vez en AGENTS.md y pon @AGENTS.md en CLAUDE.md, y los dos agentes leerán el mismo archivo.

Paso a paso con el otro agente: revisión de seguridad con Claude Code.

Dale a alguien el trabajo de revisión de seguridad

Los comandos se ejecutan cuando alguien se acuerda de ejecutarlos. Crewmark convierte tu propio Codex en un empleado de IA con un rol, un objetivo en cifras, horario laboral y un heartbeat, para que el trabajo se haga según un horario y aparezca en un tablero.

1. Empieza por el rol

   El ingeniero de software de IA, con estas reglas en su brief.

2. Lleva el trabajo a su tablero

   Añade el trabajo como issue recurrente. El empleado se despierta con su heartbeat, lo hace e informa en un comentario.

3. Relacionado

   Para los bugs que no son de seguridad, consulta revisión de código.

Preguntas frecuentes