Points cl\u00e9s<\/p>\n
- \n
- Client open source, backend ferm\u00e9.<\/strong> Le code sous licence Apache-2.0 est disponible publiquement sur GitHub. Chaque analyse s\u2019effectue via l\u2019infrastructure d\u2019OpenAI en version b\u00eata limit\u00e9e.<\/li>\n
- CLI et SDK TypeScript.<\/strong> Les analyses, la v\u00e9rification des modifications, le suivi des ex\u00e9cutions et la validation des correctifs peuvent \u00eatre int\u00e9gr\u00e9s dans les pipelines CI.<\/li>\n
- Cl\u00e9 API dans le contexte de build.<\/strong> Dans les environnements CI, la variable OPENAI_API_KEY est utilis\u00e9e. La port\u00e9e, la rotation et l\u2019audit doivent \u00eatre valid\u00e9s avant d\u00e9ploiement.<\/li>\n
- Version pr\u00e9liminaire.<\/strong> OpenAI qualifie explicitement cette publication de version pr\u00e9liminaire. L\u2019interface et les r\u00e9sultats ne garantissent pas encore une exhaustivit\u00e9 totale.<\/li>\n<\/ul>\n<\/div>\n
Articles associ\u00e9s :<\/strong> D\u00e9tection active, mais la priorisation a laiss\u00e9 l\u2019alerte de c\u00f4t\u00e9<\/a> \u00b7 Un pipeline CI\/CD a publi\u00e9 un chargeur de botnet AsyncAPI<\/a><\/p>\n
Qu’est-ce que la Codex Security CLI ?<\/h2>\n
Qu’est-ce que la Codex Security CLI ?<\/strong> La Codex Security CLI est un client de d\u00e9tection de vuln\u00e9rabilit\u00e9s dans le code, publi\u00e9 par OpenAI. Cet outil couvre la d\u00e9tection, la validation et la correction des failles, disponible en ligne de commande ainsi qu’en SDK TypeScript sous licence Apache-2.0.<\/p>\n
Sa publication a eu lieu le 29 juillet 2026, sans annonce pr\u00e9alable. Hacker News a d\u00e9couvert le d\u00e9p\u00f4t avant qu’OpenAI ne le mentionne officiellement.<\/p>\n
Environ 1 500 \u00e9toiles ont \u00e9t\u00e9 attribu\u00e9es peu apr\u00e8s sa sortie. OpenAI qualifie explicitement cette version de publication anticip\u00e9e.<\/p>\n
Cette CLI ne doit pas \u00eatre confondue avec l’ancienne Codex CLI. Ce dernier outil est un agent de g\u00e9n\u00e9ration de code aux objectifs distincts.<\/p>\n
Codex Security vise sp\u00e9cifiquement la d\u00e9tection et la v\u00e9rification des vuln\u00e9rabilit\u00e9s dans les bases de code existantes. Les noms des produits se ressemblent, mais leurs usages diff\u00e8rent clairement dans le quotidien des \u00e9quipes.<\/p>\n
Codex Security \u00e9tait disponible depuis mars 2026 sous forme de *Research Preview*. Le 22 juin 2026, l’initiative *Patch the Planet* a \u00e9t\u00e9 lanc\u00e9e.<\/p>\n
Le 17 juillet 2026, le plugin Codex Security a \u00e9t\u00e9 int\u00e9gr\u00e9 \u00e0 l’interface de Codex. La CLI en open source cl\u00f4t cette s\u00e9rie le 29 juillet 2026.<\/p>\n
\n\nMars 2026<\/div>\nCodex Security lanc\u00e9 en tant que *Research Preview*<\/div>\n<\/div>\n\n22.06.2026<\/div>\nLancement de l’initiative *Patch the Planet*<\/div>\n<\/div>\n\n17.07.2026<\/div>\nInt\u00e9gration du plugin Codex Security dans l’interface de Codex<\/div>\n<\/div>\n\n29.07.2026<\/div>\nPublication de la CLI en open source sous licence Apache-2.0<\/div>\n<\/div>\n<\/div>\nAnalyse, suivi et int\u00e9gration dans le pipeline CI<\/h2>\n
Les fonctionnalit\u00e9s couvrent le cycle de s\u00e9curit\u00e9 applicative (AppSec) classique au sein du pipeline. Les d\u00e9p\u00f4ts peuvent \u00eatre enti\u00e8rement analys\u00e9s et les modifications v\u00e9rifi\u00e9es de mani\u00e8re cibl\u00e9e.<\/p>\n
Les r\u00e9sultats (findings) sont suivis sur plusieurs ex\u00e9cutions. Les correctifs peuvent \u00eatre valid\u00e9s et int\u00e9gr\u00e9s comme v\u00e9rification de s\u00e9curit\u00e9 dans le CI.<\/p>\n
Pour les \u00e9quipes en charge des pipelines, la r\u00e9p\u00e9tabilit\u00e9 des ex\u00e9cutions est primordiale. Une analyse sur l\u2019ensemble du d\u00e9p\u00f4t et une v\u00e9rification des modifications actuelles fournissent une vue claire et compr\u00e9hensible. La comparaison avec les ex\u00e9cutions pr\u00e9c\u00e9dentes facilite la revue lors de la fusion (merge).<\/p>\n
L\u2019interface en ligne de commande (CLI) et le SDK TypeScript s\u2019adressent au m\u00eame usage. Le choix d\u00e9pend des outils d\u00e9j\u00e0 en place au sein de l\u2019\u00e9quipe.<\/p>\n
L\u2019installation s\u2019effectue via npm dans un environnement Node habituel. Le paquet porte le nom
@openai\/codex-security<\/code>.<\/p>\nPour analyser un d\u00e9p\u00f4t, il suffit d\u2019ex\u00e9cuter
npx codex-security scan .<\/code> dans le r\u00e9pertoire du projet. Les pr\u00e9requis sont Node.js 22 ou une version ult\u00e9rieure, ainsi que Python 3.10 ou une version ult\u00e9rieure.<\/p>\nL\u2019authentification s\u2019effectue au choix via une connexion \u00e0 ChatGPT ou via la variable d\u2019environnement
OPENAI_API_KEY<\/code>. En CI, la cl\u00e9 API est privil\u00e9gi\u00e9e.<\/p>\nSi les deux options sont disponibles, l\u2019outil propose une s\u00e9lection interactive. Les options
--auth chatgpt<\/code> et--auth api-key<\/code> permettent de choisir manuellement.<\/p>\nL\u2019historique des analyses est stock\u00e9 par d\u00e9faut dans le r\u00e9pertoire Workbench<\/em>. Alternativement, la variable d\u2019environnement
CODEX_SECURITY_STATE_DIR<\/code> permet de d\u00e9finir un autre emplacement pour l\u2019historique.<\/p>\nLa documentation est disponible \u00e0 l\u2019adresse learn.chatgpt.com\/docs\/security\/cli<\/a>. Pour les \u00e9quipes, l\u2019int\u00e9gration sous forme de v\u00e9rification r\u00e9p\u00e9table aux c\u00f4t\u00e9s des outils comme Lint ou les tests est un atout majeur.<\/p>\n
Le suivi sur plusieurs ex\u00e9cutions est essentiel pour les syst\u00e8mes de tickets. Un r\u00e9sultat (finding) sans statut persistant entre les builds g\u00e9n\u00e8re des doublons dans la file d\u2019attente.<\/p>\n
L\u2019historique stock\u00e9 dans le r\u00e9pertoire State<\/em> facilite la priorisation et la justification lors des revues. Cela s\u2019applique aussi bien aux portes de fusion (merge gates) qu\u2019aux analyses compl\u00e8tes nocturnes.<\/p>\n
La v\u00e9rification des correctifs cl\u00f4t le cycle dans la demande de fusion (Pull Request). Un d\u00e9faut signal\u00e9 suivi d\u2019une nouvelle ex\u00e9cution en aval permet de confirmer si la modification a \u00e9t\u00e9 appliqu\u00e9e.<\/p>\n
Cela r\u00e9duit les \u00e9chantillons manuels dans le travail quotidien. L\u2019\u00e9valuation technique par les r\u00e9viseurs s\u00e9curit\u00e9 reste bien entendu indispensable en parall\u00e8le.<\/p>\n
Code client et backend ouverts sous le contr\u00f4le d’OpenAI<\/h2>\n
Le c\u0153ur \u00e9ditorial repose sur la s\u00e9paration entre le client et le service. Le code sous licence Apache 2.0 est accessible publiquement sur GitHub.<\/p>\n
Le backend d’analyse reste en version b\u00eata limit\u00e9e pour les clients autoris\u00e9s. Chaque analyse s’ex\u00e9cute contre l’infrastructure d’OpenAI.<\/p>\n
Un code ouvert signifie ici une logique client lisible et une diffusion libre sous licence. L’analyse elle-m\u00eame reste li\u00e9e au fournisseur. Pour les \u00e9quipes s\u00e9curit\u00e9, le flux de donn\u00e9es et le contrat priment donc sur la liste des fonctionnalit\u00e9s.<\/p>\n
Lors du scan, le code source ou les contextes d\u00e9riv\u00e9s quittent le r\u00e9seau interne. Les extraits concern\u00e9s doivent \u00eatre d\u00e9finis avant le d\u00e9ploiement.<\/p>\n
De m\u00eame, le contrat et la conservation des donn\u00e9es doivent \u00eatre clarifi\u00e9s avant la premi\u00e8re mise en production. La CLI seule ne r\u00e9pond pas \u00e0 ces questions op\u00e9rationnelles dans le processus de validation.<\/p>\n
La validation implique ici l’acc\u00e8s \u00e0 la b\u00eata et au backend. Un code client public ne remplace pas cette validation en exploitation.<\/p>\n
Les d\u00e9p\u00f4ts contenant des secrets internes n\u00e9cessitent une \u00e9valuation distincte de leur chemin de sortie. Il en va de m\u00eame pour les donn\u00e9es personnelles et les r\u00e8gles d’export strictes.<\/p>\n
Les services juridiques et achats examinent le chemin contractuel en parall\u00e8le de la phase pilote technique. Les dur\u00e9es de conservation, le traitement par des sous-traitants et les questions de localisation doivent figurer dans le m\u00eame dossier. Sans cette clarification, le job CI reste une op\u00e9ration fant\u00f4me sans validation fiable.<\/p>\n
Suite \u00e0 l’incident sur Hugging Face, les fournisseurs renforcent leurs outils de d\u00e9fense. Codex Security s’inscrit dans cette d\u00e9marche en tant que client v\u00e9rifiable avec un service centralis\u00e9. Aucun lien de causalit\u00e9 entre l’incident et la sortie n’est \u00e9tabli.<\/p>\n
\nAvant le d\u00e9ploiement<\/p>\n
- \n
- ✓<\/span>Il est \u00e9tabli quels codes quittent le r\u00e9seau interne, sous quel contrat et avec quelles modalit\u00e9s de conservation.<\/li>\n
- ✓<\/span>Le p\u00e9rim\u00e8tre et la rotation de la cl\u00e9 OPENAI_API_KEY dans la CI sont d\u00e9finis.<\/li>\n
- ✓<\/span>La s\u00e9paration entre le code client ouvert et le backend en version b\u00eata limit\u00e9e est tra\u00e7able.<\/li>\n
- ✓<\/span>L’ad\u00e9quation avec les environnements r\u00e9gul\u00e9s ou isol\u00e9s (air-gapped) est v\u00e9rifi\u00e9e avant utilisation.<\/li>\n
- ✓<\/span>L’\u00e9quipe est consciente que la version initiale ne garantit pas l’exhaustivit\u00e9 des r\u00e9sultats.<\/li>\n<\/ul>\n<\/div>\n
Environnements r\u00e9glement\u00e9s et cl\u00e9 API dans le processus de build<\/h2>\n
Les r\u00e9seaux isol\u00e9s (air-gapped), les op\u00e9rateurs de KRITIS<\/strong> (infrastructures critiques) et les institutions financi\u00e8res r\u00e9glement\u00e9es ne peuvent pas emprunter la voie cloud. Sans acc\u00e8s autoris\u00e9 vers le backend, le scan devient impossible. Un code client local ne modifie pas cette contrainte dans un r\u00e9seau isol\u00e9.<\/p>\n
Lorsque l’utilisation du cloud est autoris\u00e9e, la gestion des cl\u00e9s prend le devant de la sc\u00e8ne. Une cl\u00e9
OPENAI_API_KEY<\/code> dans un pipeline CI repr\u00e9sente un secret \u00e0 longue dur\u00e9e de vie dans le contexte de build. Le p\u00e9rim\u00e8tre d’utilisation, la rotation et l’audit doivent suivre le m\u00eame processus de validation que les autres secrets de pipeline.<\/p>\nLe contexte de build conserve souvent les secrets plus longtemps que pr\u00e9vu. Les logs, les artefacts et les pipelines de fork \u00e9largissent significativement la surface d’attaque.<\/p>\n
Le masquage dans la CI r\u00e9duit les risques au quotidien. Des permissions strictes et une dur\u00e9e de vie courte de la cl\u00e9 y contribuent \u00e9galement. Une cl\u00e9 d\u00e9di\u00e9e par pipeline ou par \u00e9quipe facilite le suivi lors des audits.<\/p>\n
La connexion \u00e0 ChatGPT convient pour un travail interactif sur la machine du d\u00e9veloppeur. Pour les builds automatis\u00e9s (unattended), la cl\u00e9 API reste la solution la plus pratique.<\/p>\n
Les deux approches aboutissent au m\u00eame backend d’OpenAI. Le choix ne modifie que le chemin de donn\u00e9es vers le fournisseur au niveau de l’authentification.<\/p>\n
Le statut de version pr\u00e9coce limite les attentes en mati\u00e8re de stabilit\u00e9 au quotidien. Les r\u00e9sultats ne garantissent pas l’exhaustivit\u00e9 pour l’ensemble du codebase.<\/p>\n
Les interfaces peuvent \u00e9voluer dans les versions ult\u00e9rieures. Les \u00e9quipes doivent documenter la version, le p\u00e9rim\u00e8tre de validation et les limites connues dans le manuel d’exploitation.<\/p>\n
Pour le d\u00e9ploiement, un pilote restreint avec des fronti\u00e8res claires est recommand\u00e9. Un d\u00e9p\u00f4t valid\u00e9, un contrat de chemin document\u00e9 et une cl\u00e9 en rotation constituent la base minimale.<\/p>\n
Les analyses SAST et de d\u00e9pendances existantes restent actives en parall\u00e8le dans les gates. Codex Security compl\u00e8te cette couche d\u00e8s que l’acc\u00e8s b\u00eata et la conformit\u00e9 sont valid\u00e9s.<\/p>\n
Les indicateurs de mesure dans le pilote sont volontairement simples et transparents. Le nombre d’ex\u00e9cutions, les r\u00e9sultats trait\u00e9s et les \u00e9checs dus \u00e0 des erreurs d’authentification ou r\u00e9seau suffisent pour la premi\u00e8re \u00e9valuation.<\/p>\n
Aucune promesse de benchmark n’est faite \u00e0 ce stade pr\u00e9coce. L’exploitation se concentre sur la stabilit\u00e9 et la lib\u00e9ration des donn\u00e9es.<\/p>\n
L’outil est utilisable par les clients b\u00eata valid\u00e9s d\u00e8s que le flux de donn\u00e9es, le contrat et la gestion des cl\u00e9s sont clarifi\u00e9s. Le client ouvert facilite les v\u00e9rifications et l’int\u00e9gration dans les pipelines existants. La condition op\u00e9rationnelle centrale reste le point de validation d\u00e9cisif avant le d\u00e9ploiement dans les pipelines de production.<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nLa CLI Codex Security est-elle enti\u00e8rement utilisable en open source ?<\/strong><\/summary>\n
Le code client est publi\u00e9 sous licence Apache-2.0 sur GitHub. Le backend de scan reste en version b\u00eata limit\u00e9e pour les clients s\u00e9lectionn\u00e9s. Chaque analyse s\u2019effectue via l\u2019infrastructure d\u2019OpenAI. Le code public et le fonctionnement hors ligne sans backend ne sont pas \u00e9quivalents dans ce contexte.<\/p>\n<\/details>\n
\nQuelles sont les diff\u00e9rences entre Codex Security et l\u2019ancien outil en ligne de commande Codex CLI ?<\/strong><\/summary>\n
L’ancien outil Codex CLI est l’agent de codage. Codex Security sert \u00e0 d\u00e9tecter, valider et corriger les vuln\u00e9rabilit\u00e9s. Ces deux produits partagent des noms similaires, mais leurs cas d’usage et leurs interfaces doivent \u00eatre \u00e9valu\u00e9s s\u00e9par\u00e9ment.<\/p>\n<\/details>\n
\nQuelles sont les conditions requises pour l\u2019installation et l\u2019analyse par scan ?<\/strong><\/summary>\n
Node.js 22 ou une version ult\u00e9rieure et Python 3.10 ou une version ult\u00e9rieure sont requis. L’installation s’effectue via npm avec le paquet
@openai\/codex-security<\/code>. Un scan d\u00e9marre avecnpx codex-security scan<\/code>. L’authentification se fait via une connexion ChatGPT ou uneOPENAI_API_KEY<\/code>.<\/p>\n<\/details>\n\nQue signifie le statut de sortie anticip\u00e9e pour l\u2019exploitation ?<\/strong><\/summary>\n
OpenAI qualifie explicitement cette publication de version pr\u00e9liminaire. Les r\u00e9sultats ne garantissent pas l\u2019exhaustivit\u00e9. L\u2019interface est encore consid\u00e9r\u00e9e comme instable. Les \u00e9quipes documentent la version ainsi que les limites connues dans le manuel d\u2019exploitation.<\/p>\n<\/details>\n
\nQuels points faut-il clarifier avant le d\u00e9ploiement d\u2019un CI (Continuous Integration) ?<\/strong><\/summary>\n
Le flux de donn\u00e9es vers le backend, le cadre contractuel et la conservation des donn\u00e9es sont les premi\u00e8res priorit\u00e9s. La cl\u00e9 API int\u00e9gr\u00e9e dans le build n\u00e9cessite une d\u00e9finition des p\u00e9rim\u00e8tres d’acc\u00e8s (scope), une rotation r\u00e9guli\u00e8re et un audit complet. Pour les environnements isol\u00e9s (air-gapped) et fortement r\u00e9glement\u00e9s, il convient de v\u00e9rifier si les analyses cloud sont autoris\u00e9es.<\/p>\n<\/details>\n
<\/p>\n
Les choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-9-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Un paquet npm qui volait les cl\u00e9s priv\u00e9es<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/was-ist-eine-sbom-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Qu\u2019est-ce qu\u2019une SBOM ? La nomenclature des logiciels<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-15-250x143.jpg\")
<\/span>\u00c0 lire<\/span>622 CVE : prioriser plut\u00f4t que paniquer et corriger<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-billige-ki-aus-china-was-der-einkauf-pru-61392548-250x141.jpg\")
<\/span>MyBusinessFuture<\/span>IA bon march\u00e9 en Chine : ce qu\u2019il faut v\u00e9rifier<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-us-streit-ki-modelle-beschaffung-vertrag-37385192-250x143.jpg\")
<\/span>Digital Chiefs<\/span>Washington d\u00e9cide de ce qui peut \u00eatre utilis\u00e9 ici en mati\u00e8re d\u2019IA<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Codex Security CLI : Code client sous Apache-2.0 ouvert, Backend de scan en phase beta limit\u00e9e contre l’infrastructure OpenAI.","protected":false},"author":50,"featured_media":22719,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Codex Security CLI","_yoast_wpseo_title":"Codex Security : Client ouvert alimente OpenAI","_yoast_wpseo_metadesc":"OpenAI lib\u00e8re la CLI Codex Security sous Apache-2.0. Le backend de scan reste en phase beta limit\u00e9e et s'ex\u00e9cute sur l'infrastructure OpenAI.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"fr","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[256],"tags":[],"class_list":["post-22789","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr"],"evm_reading_time_minutes":11,"wpml_language":"fr","wpml_translation_of":22718,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22789","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/50"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=22789"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22789\/revisions"}],"predecessor-version":[{"id":22801,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22789\/revisions\/22801"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/22719"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=22789"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=22789"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=22789"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - ✓<\/span>Le p\u00e9rim\u00e8tre et la rotation de la cl\u00e9 OPENAI_API_KEY dans la CI sont d\u00e9finis.<\/li>\n
- CLI et SDK TypeScript.<\/strong> Les analyses, la v\u00e9rification des modifications, le suivi des ex\u00e9cutions et la validation des correctifs peuvent \u00eatre int\u00e9gr\u00e9s dans les pipelines CI.<\/li>\n