오픈AI, 코드 취약점 찾고 고치는 CLI·SDK '코덱스 시큐리티' 공개

오픈AI가 소스코드의 보안 취약점을 찾아내고 검증한 뒤 수정까지 시도하는 개발자 도구 '코덱스 시큐리티(Codex Security)'를 내놨다. @openai/codex-security라는 이름의 이 패키지는 명령줄 인터페이스(CLI)와 타입스크립트 SDK 두 가지 형태로 제공된다. 저장소 전체를 훑는 스캔, 특정 변경분만 검토하는 리뷰, 발견된 문제를 시간 흐름에 따라 추적하는 기능, 그리고 CI 파이프라인 안에서 보안 검사를 자동으로 실행하는 것이 공개된 핵심 용도다.

보안 점검을 개발 흐름 안으로

이 도구의 방향성은 보안 점검을 릴리스 직전의 별도 관문이 아니라 일상적인 개발 흐름 안에 배치하려는 데 있다. 저장소 스캔뿐 아니라 변경분 단위 검토를 지원한다는 점은, 코드 리뷰를 하는 순간에 취약점 신호를 함께 받아 보는 용법을 겨냥한 것으로 읽힌다. 발견된 항목을 한 번 보고 끝내는 것이 아니라 시간에 걸쳐 추적한다는 설명도 눈에 띈다. 새로 생긴 문제와 이미 알고 있던 문제를 구분하고, 수정이 실제로 반영됐는지를 이어서 확인하는 방식은 실무에서 반복 스캔의 피로를 줄이는 데 필요한 부분이다.

동작 요건은 비교적 최신 환경을 전제한다. Node.js 22 이상과 Python 3.10 이상이 필요하며, 여기에 더해 '코덱스 시큐리티 접근 권한'이 있어야 한다. 즉 패키지를 설치했다고 곧바로 쓸 수 있는 순수 오픈소스 로컬 도구가 아니라, 오픈AI 측 서비스에 대한 접근을 전제로 한 클라이언트 성격이 강하다는 의미다.

자격 증명과 상태 저장의 실무 포인트

실제 도입 시 가장 먼저 부딪히는 지점은 인증 방식이다. 코덱스 시큐리티는 챗GPT 로그인과 OPENAI_API_KEY 두 갈래의 자격 증명을 지원한다. 두 가지가 모두 설정돼 있으면, 사람이 직접 실행하는 대화형 스캔에서는 어느 쪽을 쓸지 되묻는다. 반면 CI를 비롯한 비대화형 실행에서는 기존의 API 키 우선 규칙을 그대로 유지한다. 자동화 파이프라인에서는 로그인 대신 OPENAI_API_KEY를 설정하라는 안내가 이 때문에 나온다. 필요하다면 실행 시 자격 증명을 명시적으로 지정할 수 있고, 챗GPT 로그인을 기본값으로 굳히고 싶다면 설정된 API 키를 아예 해제하면 된다.

또 하나 챙겨야 할 부분은 상태 저장 위치다. 스캔 이력은 코덱스 시큐리티 워크벤치의 상태 디렉터리에 저장된다. 만약 그 경로에 쓰기가 불가능하면 CODEX_SECURITY_STATE_DIR 환경 변수로 저장소 바깥의 쓰기 가능한 디렉터리를 지정하도록 안내한다. 이는 권한이 제한된 CI 러너나 읽기 전용으로 마운트된 작업 공간에서 실행할 때 실패를 피하기 위한 설정으로, 파이프라인을 구성하기 전에 미리 확인해 두는 편이 낫다.

아직은 확인할 것이 더 많다

다만 현재 공개된 정보는 저장소 안내 수준에 머물러 있어 판단을 유보해야 할 대목이 적지 않다. 취약점 탐지의 정확도나 오탐 비율, 자동 수정의 신뢰도, 지원 언어와 프레임워크의 범위, 요금 체계 같은 실무 도입의 핵심 변수는 이 자료만으로는 확인되지 않는다. 특히 '수정까지 시도한다'는 기능은 생성형 모델이 만들어 내는 패치를 사람이 얼마나 검증해야 하는지가 관건인데, 그 부분에 대한 구체적 설명은 아직 드러나 있지 않다. 설치·인증·스캔 옵션·CI 설정의 세부 내용은 별도의 공식 문서로 넘어가 있는 만큼, 실제 적용을 검토하는 팀이라면 파일럿 저장소에서 탐지 품질과 자동 수정의 안전성을 직접 재보는 단계를 거치는 것이 합리적이다.