Revisão de segurança com o Codex: pull requests, scans locais e CI

O que o Codex faz em revisão de segurança

• Confere cada mudança em busca de injeção, falta de autorização, dados expostos e segredos no código antes do merge.
• Escaneia o repositório inteiro com agendamento e relata os achados com evidências, não com alertas soltos.
• Transforma os achados confirmados em patches ou issues, começando pelos mais graves.
• Confere a correção de novo para confirmar que ela fecha a brecha.

Recursos do Codex para revisão de segurança

Como configurar o Codex para revisão de segurança

1. Conecte as ferramentas

   Use o plugin no seu primeiro scan local e a CLI para scripts e CI. Scans que usam os modelos da OpenAI precisam de acesso ao Codex Security; entre com a sua conta do ChatGPT e mantenha os resultados fora do repositório.

   # Entre e depois escaneie um repositório; os resultados ficam fora dele
   npx @openai/codex-security login
   npx @openai/codex-security scan /path/to/repo \
     --auth chatgpt --output-dir /path/outside/repo/results

2. Escreva as regras no AGENTS.md

   O Codex lê o AGENTS.md antes de qualquer trabalho: ~/.codex/AGENTS.md e depois os arquivos da raiz do repositório até a pasta em que está trabalhando. Coloque ali as regras do trabalho, ou em uma skill em .agents/skills/ se forem longas. Veja o guia do AGENTS.md.

   ## Regras de revisão de segurança
   - Revise todo pull request que mexe em auth/, billing/ ou SQL.
     Procure injeção, checagens de autorização faltando, segredos no
     código e dados devolvidos ao usuário errado.
   - Classifique cada achado como Critical, High, Medium ou Low, com
     o arquivo, a linha e como ele poderia ser explorado.
   - Nunca rode exploits contra produção ou contra nada que não seja
     nosso. Leia o código e teste localmente.
   - Abra as correções como pull requests; nunca faça push na main.

3. Rode sem a interface interativa

   codex exec roda uma tarefa e encerra. O progresso vai para o stderr e a mensagem final para o stdout; -o também a grava em um arquivo e --json transmite os eventos. O sandbox é somente leitura, a menos que você passe --sandbox workspace-write.

   # Uma rodada de segurança neste branch, com as suas regras do AGENTS.md
   codex exec "Revise este branch em relação à main em busca de problemas de segurança, seguindo o AGENTS.md"
   
   # Um scan do repositório pelo CI, sem o painel ao vivo
   npx @openai/codex-security scan "$REPOSITORY" --auth chatgpt \
     --output-dir "$SCAN_DIR" --headless

4. Coloque em um agendamento

   Crie uma tarefa agendada no app desktop do ChatGPT ou na web (a CLI não as gerencia), ou rode codex exec pelo cron. Veja como deixar o Codex proativo.

Fonte: documentação do Codex

Limites e segurança

• Ele lê o código do seu checkout, não o site em execução, então não vai pegar um servidor mal configurado.
• Os scans não são determinísticos: duas execuções podem trazer achados diferentes. Rode-os com regularidade, não uma vez só.
• Ele complementa os seus scanners e alertas de dependências. Não substitui nenhum deles nem um teste de intrusão.
• O Codex roda os comandos em sandbox por padrão: as escritas ficam no workspace e a rede fica desligada. Deixe danger-full-access para um runner ou contêiner isolado.

Claude Code ou Codex para revisão de segurança?

As regras valem para os dois. Escreva-as uma vez no AGENTS.md e coloque @AGENTS.md no CLAUDE.md, e os dois agentes leem o mesmo arquivo.

Passo a passo para o outro agente: revisão de segurança com o Claude Code.

Coloque alguém responsável por revisão de segurança

Comandos rodam quando alguém lembra de rodá-los. O Crewmark transforma o seu próprio Codex em um funcionário de IA com um cargo, uma meta em números, horário de trabalho e um heartbeat, então o trabalho acontece no horário e aparece em um quadro.

1. Comece pelo cargo

   O engenheiro de software com IA, com estas regras no brief.

2. Leve o trabalho para o quadro dele

   Adicione o trabalho como issue recorrente. O funcionário acorda com o heartbeat, faz o trabalho e relata em um comentário.

3. Veja também

   Para bugs que não são de segurança, veja revisão de código.

Perguntas frequentes