En pocas palabras: OpenAI liberó en marzo de 2026 Codex Security, un agente open source (CLI + SDK de TypeScript, paquete @openai/codex-security) que escanea código, reproduce las vulnerabilidades para confirmarlas y propone el parche. En research preview, ya ayudó a asignar 14 CVEs en proyectos como libssh, PHP y Chromium.
Codex Security OpenAI es un agente de seguridad de código de OpenAI, publicado como herramienta de línea de comandos open source y SDK de TypeScript bajo el paquete @openai/codex-security. Analiza repositorios, reproduce las vulnerabilidades que encuentra para confirmar que son reales y genera parches. No es un SAST clásico: es un complemento que usa razonamiento de contexto para bajar falsos positivos.
En 30 segundos
- Qué es: agente de seguridad de OpenAI que identifica, valida y repara vulnerabilidades en código fuente, en research preview desde marzo 2026.
- Cómo se instala:
npm install @openai/codex-security, necesita Node.js 22.13.0+ y Python 3.10+. - Números de la beta: 1,2 millones de commits escaneados, más de 10.000 hallazgos de severidad alta y 14 CVEs asignados (libssh, PHP, Chromium).
- Qué lo diferencia: según OpenAI, reduce falsos positivos en más de 50% y el ruido en 84% frente a un SAST tradicional.
- Precio: el CLI es open source, pero requiere una cuenta con acceso habilitado (Trusted Access); OpenAI no publicó tarifas todavía.
¿Cómo funciona Codex Security en sus tres fases?
Codex Security trabaja en tres etapas: identificación, validación y remediación. Primero analiza el código y arma un modelo de amenazas realista para cada hallazgo. Después intenta reproducir la vulnerabilidad para confirmar que se puede explotar de verdad. Recién ahí genera un parche con el fix propuesto. Ese paso de validación es lo que lo separa del resto.
Ponele que tu SAST de siempre te tira 300 alertas los lunes a la mañana. Vos sabés que la mitad son ruido, pero igual alguien tiene que sentarse a revisarlas una por una. Acá viene la diferencia: Codex no solo marca el patrón sospechoso, intenta ejecutar el camino que lo hace explotar. Si no logra reproducirlo, lo baja de prioridad. Más contexto en como parte de la estrategia de OpenAI.
Esa lógica de “primero probá que es real” es la que, según el anuncio oficial de OpenAI, permite recortar más del 50% de los falsos positivos. El agente no adivina: reproduce.
¿Qué necesitás para instalar Codex Security?
Para correr Codex Security necesitás Node.js 22.13.0 o superior (sirven las líneas 22.x, 24.x y 26.x) y Python 3.10 o más nuevo. La instalación es un paquete de npm y la autenticación se resuelve con login de ChatGPT o con una API key. En pocos minutos tenés el primer scan corriendo sobre tu repo.
El flujo básico son tres comandos:
- Instalás el paquete:
npm install @openai/codex-security, disponible en npm. - Te autenticás:
npx @openai/codex-security login(por ChatGPT, o conOPENAI_API_KEY/CODEX_API_KEYen variables de entorno o el keyring del sistema). - Escaneás:
npx @openai/codex-security scan .sobre la raíz del proyecto.
Un detalle que conviene tener claro: el CLI es open source, pero el motor corre contra la infraestructura de OpenAI. Necesitás una cuenta con “Trusted Access” habilitado. O sea, podés leer el código, pero no lo autohospedás.
¿Qué puede escanear y validar Codex Security?
Codex Security escanea repositorios completos, rutas específicas o pull requests puntuales, guarda historial de escaneos y devuelve salida estructurada para automatizar. En la beta privada, según OpenAI, procesó 1,2 millones de commits, encontró más de 10.000 hallazgos de severidad alta y contribuyó a que se asignaran 14 CVEs en proyectos grandes como libssh, PHP y Chromium.
Eso último no es menor. Que un agente automático haya empujado CVEs reales en librerías tan miradas como libssh o el propio motor de Chromium dice algo sobre la profundidad del análisis. No es un linter que se queja de comillas. Sobre eso profundizamos, como mostró nuestra comparativa con Claude.
La salida estructurada es la pieza clave para equipos. Podés parsear el JSON, filtrar por severidad y decidir qué frena un merge y qué no. ¿Sirve para todo? No. Es análisis de código fuente, así que las vulnerabilidades que solo aparecen en runtime se le escapan (más sobre esto abajo).
¿Qué hace el SDK de TypeScript de Codex Security?
El SDK de TypeScript expone el mismo motor de análisis que el CLI, pero de forma programática. Con él integrás Codex Security en tus propias herramientas internas, portales de seguridad o flujos de automatización custom, sin depender de la línea de comandos. Es la vía para equipos que quieren control fino sobre cuándo y cómo se dispara cada scan.
La ventaja práctica es simple. Si tenés un dashboard de seguridad propio, no querés estar parseando la salida de un comando de terminal a mano. Con el SDK llamás al motor, recibís los hallazgos como objetos y los metés en tu pipeline como cualquier otra dependencia. Mismo cerebro, otra puerta de entrada.
¿En qué se diferencia de SAST, DAST y SCA tradicionales?
Codex Security no reemplaza a SAST, DAST ni SCA: los complementa con validación semántica. Frente a un SAST clásico, OpenAI dice que baja los falsos positivos más de 50% y el ruido un 84%, porque reproduce cada hallazgo antes de reportarlo. El SAST analiza sin ejecutar, el DAST necesita la app corriendo, el SCA mira dependencias. Codex agrega el razonamiento de contexto que a esos tres les falta. Frente a competidores como DeepSeek, profundizamos sobre esto.
| Herramienta | Qué analiza | Necesita ejecutar la app | Punto débil |
|---|---|---|---|
| SAST tradicional | Código fuente estático | No | Muchos falsos positivos, ruido alto |
| DAST | App en runtime | Sí (instancia viva) | No ve el código, solo el comportamiento |
| SCA | Dependencias de terceros | No | Solo librerías, no tu código propio |
| Codex Security | Código fuente + validación por reproducción | No (reproduce el path, no despliega) | No cubre vulnerabilidades solo-runtime |
El punto es que no elegís uno u otro. Un equipo serio corre SCA para las dependencias, DAST contra el entorno de staging y suma Codex Security para que el SAST deje de gritar por cosas que no importan. La “inteligencia” acá está en descartar, no en marcar más.
¿Cómo se integra Codex Security en un pipeline CI/CD?
Codex Security se integra en CI/CD disparando un scan en cada push, pull request o etapa pre-merge. Como devuelve salida estructurada, podés armar una puerta de calidad que frene el pipeline si aparece un hallazgo de severidad HIGH. Funciona con GitHub Actions, GitLab CI y cualquier runner que pueda instalar el paquete de npm.
El patrón típico es este: agregás un job que instala @openai/codex-security, corre scan sobre el diff del PR y falla si la severidad supera tu umbral. Con el SDK de TypeScript el control es todavía más granular, porque decidís por código qué hallazgos bloquean y cuáles solo comentan en el PR.
Un tema práctico: el scan pega contra la infra de OpenAI, así que tus runners necesitan salida a internet y las credenciales bien guardadas como secrets. Si corrés tus propios runners de CI en un VPS o servidor dedicado (por ejemplo en donweb.com), acordate de inyectar la API key como variable de entorno y no dejarla escrita en el repo. Suena obvio, pero la mitad de las filtraciones de tokens salen justo de ahí.
¿Cuáles son las limitaciones de Codex Security?
La limitación principal es que Codex Security analiza código fuente, no aplicaciones desplegadas: no reemplaza a un DAST para vulnerabilidades de runtime. Además está en research preview y requiere una cuenta con acceso habilitado (Trusted Access), así que no cualquiera lo prende. Y OpenAI todavía no publicó precios, un dato que a cualquier equipo le importa antes de casarse con la herramienta. Lo explicamos a fondo en analizando la estrategia de precios actual.
Repasemos lo que hoy no queda cerrado:
- No cubre runtime: vulnerabilidades que solo aparecen con la app corriendo se le escapan; para eso seguís necesitando DAST.
- Acceso restringido: el CLI es open source, pero exige verificación de cuenta. No lo instalás y listo.
- Precio sin confirmar: al ser research preview, no hay tarifa pública. Habría que ver cómo queda el costo cuando salga de preview.
- Dependencia del backend: el motor corre en OpenAI, no on-premise, así que tu código viaja a sus servidores. Para algunos sectores regulados, eso ya es un freno.
¿Alguien verificó de forma independiente el 84% de reducción de ruido? Por ahora el número es de OpenAI, así que tomalo con pinzas hasta que aparezcan benchmarks de terceros.
Errores comunes al usar Codex Security
- Tratarlo como reemplazo total del SAST: no lo es. OpenAI lo posiciona como complemento. Si apagás tus otras herramientas, quedás ciego en runtime y dependencias.
- Instalar con Node viejo: abajo de 22.13.0 el CLI no arranca. Chequeá
node -vantes de perder media hora peleándote con errores raros. - Dejar la API key en el repo: subir
CODEX_API_KEYal control de versiones es el clásico. Usá secrets del CI o el keyring del sistema. - Bloquear el pipeline con cualquier hallazgo: si frenás el merge ante severidad baja, el equipo te termina desactivando el gate. Empezá bloqueando solo HIGH y ajustá.
Preguntas Frecuentes
¿Qué es Codex Security de OpenAI?
Es un agente de seguridad de código de OpenAI, lanzado en research preview en marzo de 2026, que identifica vulnerabilidades, las valida reproduciéndolas y genera parches. Se distribuye como CLI open source y SDK de TypeScript en el paquete @openai/codex-security.
¿Cómo se instala Codex Security?
Se instala con npm install @openai/codex-security y requiere Node.js 22.13.0 o superior y Python 3.10+. Después te autenticás con npx @openai/codex-security login y escaneás con npx @openai/codex-security scan . sobre la raíz del proyecto.
¿Cuánto cuesta Codex Security?
El CLI es open source y gratuito de descargar, pero el motor corre contra la infraestructura de OpenAI y exige una cuenta con acceso habilitado (Trusted Access). OpenAI no publicó una tarifa de uso mientras la herramienta esté en research preview.
¿Codex Security reemplaza a un SAST tradicional?
No. OpenAI lo presenta como complemento, no como reemplazo. Reduce los falsos positivos del SAST más de 50% al validar cada hallazgo, pero no cubre vulnerabilidades de runtime (eso es tarea de un DAST) ni las de dependencias (SCA).
¿Qué lenguajes y proyectos escaneó en la beta?
Durante la beta privada rastreó 1,2 millones de commits y ayudó a asignar 14 CVEs en proyectos de alto perfil como libssh, PHP y Chromium, con más de 10.000 hallazgos de severidad alta, según OpenAI. La cobertura exacta de lenguajes conviene confirmarla en la documentación oficial.
Conclusión
Codex Security cambia una cosa concreta: el agente prueba que la vulnerabilidad es real antes de tirártela por la cara. Eso ataca el problema más viejo del análisis estático, que es el ruido. Los números de la beta (1,2 millones de commits, 14 CVEs en libssh, PHP y Chromium) muestran que no es un juguete.
Dicho esto, seguís sin precio público, sin cobertura de runtime y con acceso restringido. La jugada sensata hoy: pedí el Trusted Access, probalo en un repo real contra tu SAST actual y medí cuántas alertas te saca de encima. Si el 50% de reducción de falsos positivos se sostiene con tu código, el gate de CI/CD se justifica solo. Si no, esperá a que salga de research preview y aparezcan benchmarks independientes.