OpenAI hat leise, aber mit Ansage nachgelegt: Eine frühe, quelloffene Version der Codex Security CLI ist da. Das Kommandozeilen-Tool durchsucht Repositories, die dir gehören oder für die du eine Freigabe hast, nach Sicherheitslücken — findet, bestätigt und hilft beim Beheben. OpenAI selbst nennt es ausdrücklich einen frühen Release und bittet um Feedback.
Was die CLI kann
Der Funktionsumfang klingt nach dem, was man sich im Alltag wünscht. Die CLI entdeckt GitHub-Repositories, kann Massen-Scans fortsetzen und verfolgt Funde über mehrere Durchläufe hinweg — inklusive Feedback zu Fehlalarmen. Du kannst deine eigene Architektur und Sicherheitsrichtlinien hinterlegen, ein Kostenlimit setzen und Checks direkt in die CI-Pipeline oder vor jeden Commit hängen. Also genau da, wo sie den meisten Nutzen bringen: bevor Code in den Hauptzweig wandert.
Die Zahlen aus der Beta
Interessant ist, was OpenAI zur Trefferqualität sagt. Über den Verlauf der Beta wurde die Präzision deutlich geschärft: Das Rauschen sei um 84 Prozent gesunken, überbewertete Schweregrade um über 90 Prozent, und die Rate an Fehlalarmen um mehr als 50 Prozent — quer über alle getesteten Repositories.
Wer schon mal einen Security-Scanner benutzt hat, der bei jedem zweiten Fund «kritisch» schreit, weiß, warum das zählt. Ein Tool, das ständig falschen Alarm schlägt, wird irgendwann ignoriert. Genau das ist die eigentliche Nachricht hier.
Die Codex Security selbst läuft parallel als Research Preview für ChatGPT-Kunden in den Plänen Pro, Enterprise, Business und Edu — über Codex Web, im ersten Monat kostenlos nutzbar.
Meine Einordnung
Für uns bei clauding.de ist das aus zwei Gründen spannend. Erstens: Sicherheits-Scanning wandert immer tiefer in den normalen Entwickler-Workflow — nicht mehr als separater Audit am Ende, sondern als Check bei jedem Commit. Zweitens: Der Trend, solche Werkzeuge quelloffen zu machen, ist bemerkenswert — gerade in einer Woche, in der über offene Gewichte heftig gestritten wird.
Ich bleibe realistisch: «Open Source» heißt nicht automatisch «besser» oder «sicherer». Aber ein Tool, das man selbst inspizieren, anpassen und in die eigene Pipeline einbauen kann, ist mir tausendmal lieber als eine Blackbox. Ausprobieren lohnt sich.
Quellen: