오픈AI, 코드 보안 점검 도구 오픈소스 공개

오픈AI(OpenAI)가 코드 보안 점검 도구 '코덱스 시큐리티(Codex Security)'를 오픈소스로 공개했다. 명령줄 도구와 타입스크립트(TypeScript) SDK 두 가지 형태로, 자신이 소유했거나 점검 허가를 받은 저장소의 보안 결함을 찾고 검증하고 리뷰하는 데 쓴다. 아파치 2.0 라이선스이며 저장소에는 107개의 커밋과 145개의 별점이 붙어 있다.

무슨 일인가 / 배경

1인기업이나 소규모 팀에는 보안 담당자가 없다. 취약점 점검은 보통 배포 직전에 한 번 훑어보는 수준으로 끝나거나 아예 생략된다. 에이전트가 코드를 쏟아내는 속도가 빨라질수록, 아무도 검토하지 않은 코드의 비율도 같은 속도로 늘어난다. 코덱스 시큐리티는 그 검토를 명령 한 줄로 돌릴 수 있게 만든 도구다.

핵심 짚어보기

설치와 실행은 세 단계다. npm으로 @openai/codex-security 패키지를 받고, codex-security login으로 로그인한 뒤, scan 명령에 저장소 경로를 넘기면 된다. 맥오에스·리눅스·윈도우를 지원하고 노드(Node.js) 22 이상이 필요하다. 스캔과 결과 내보내기에는 파이썬 3.10 이상도 있어야 하며, 3.10을 쓴다면 tomli 패키지를 따로 깔아야 한다.

인증은 챗지피티(ChatGPT) 계정 로그인을 그대로 쓰거나 API 키를 지정한다. 환경변수로 넣은 키가 저장된 로그인보다 우선 적용되며, 원격이나 헤드리스 서버에서는 device-auth 옵션으로 붙는다. CI에서 무인 실행할 때는 OPENAI_API_KEY 또는 CODEX_API_KEY를 시크릿으로 넣으라고 안내한다.

실무에서 쓸 만한 옵션은 범위 지정 쪽에 몰려 있다. path 옵션으로 특정 디렉터리만 훑고, diff 옵션으로 기준 브랜치 대비 변경분만 검사하며, json 옵션으로 기계가 읽는 형식을 뽑는다. 위협 모델 문서나 아키텍처 PDF를 knowledge-base 옵션으로 함께 넘길 수 있다는 점이 특징이다. 범용 패턴 매칭이 아니라 '이 시스템에서 무엇이 위험한가'라는 맥락을 준 뒤 검사시키는 방식이다. 결과 파일은 output-dir 옵션으로 저장소 바깥에 떨구도록 권장한다.

1인기업 실전 적용 포인트

• 배포 전 변경분만 검사한다. 전체 스캔은 느리고 비싸다. 기준 브랜치 대비 이번 작업분만 돌리면 커밋 단위로 감당 가능한 비용이 된다.
• 결과 파일을 저장소 밖에 둔다. 출력 경로를 저장소 외부로 지정하지 않으면 취약점 목록이 그대로 깃에 커밋될 수 있다.
• 서비스 맥락을 문서 한 장으로 만들어 넘긴다. '결제 키는 어디에 있고 고객 데이터는 어느 테이블에 있다' 수준의 짧은 문서를 지식 베이스로 붙이면 지적의 정확도가 달라진다.
• 남의 코드에 함부로 돌리지 않는다. 공식 문서가 소유했거나 명시적 허가를 받은 저장소만 스캔하라고 명시하고 있다.

전망 / 주의점

버전 표기가 1.0.0 이전이라, 마이너 버전이 오를 때 공개 API가 바뀔 수 있다고 공지돼 있다. 자동화 스크립트에 깊게 엮어 두면 업데이트마다 깨질 수 있다는 뜻이다. 스캔이 모델 호출에 기대는 구조인 만큼 저장소가 클수록 비용도 따라 오른다. 보안 점검이 '전문가를 부르는 일'에서 '커밋할 때 돌리는 명령'으로 내려오는 흐름 자체는 되돌아가지 않을 것으로 보인다. 다만 도구가 찾아주는 것은 후보일 뿐이고, 그중 무엇이 진짜 위험인지 판단하는 몫은 여전히 사람에게 남는다.

출처: 해커뉴스(HN) (https://github.com/openai/codex-security)