Original em inglês: https://argusic.com/subject/codex-security
codex-security
O Codex Security CLI da OpenAI e o SDK TypeScript para encontrar, validar e corrigir vulnerabilidades de segurança.
Executafonte: GitHubpágina do projetoTypeScriptApache-2.0commit 8c78e6553215
TypeScript, licença Apache-2.0. O projeto se descreve como: ai security, application security, cli, code scanning, codex, codex security, cybersecurity e devsecops.
codex-security executa. Em uma máquina limpa sem GPU, um agent da Argusic o instalou em 6 minutos e encontrou 6 erros, e a sessão inteira foi gravada.
TypeScript SDK builds and lints cleanly, CLI prints version 0.1.31 and full help, bun test suite passes 551+ tests, Python pytest suite passes 615+ tests, ruff lint/format pass, bundled plugin builds with 142 files, and pre-submit compatibility checks all pass.
O que o agent conseguiu em uma máquina limpa, nas palavras dele. Como isto é medido
Medido pela Argusic em uma máquina nova, todas as vezes. Cada número tem link para as suas evidências. Pontuação Argusic 94,3 de 100 (a média das pontuações das execuções deste projeto).
Visão geral
Dados do projeto de GitHub, com link no topo desta página, atualizado em . Dados de teste da Argusic (CC BY 4.0); cada número tem link para uma página de execução com o log completo, a gravação e os hashes sha256 deles.
O que foi medido
Da execução que decidiu este veredito. Cada linha é um valor registrado, não uma estimativa.
O que deu errado, nas palavras do agent
As palavras do próprio agent, das piores para as menores, nunca reescritas como conselho.
- Node.js v18.19.1 is too old (requires >=22.13.0)2 minutos
- pnpm not available and corepack signature verification failed for [email protected]1 minuto
- Stale /work/repo/.npmrc with prefix=/home/runner/.npm-global prevented npm configuration changes0,5 minutos
- Python pip install failed due to externally-managed environment0,5 minutos
- Native prebuilt directory plugins/codex-security/native/prebuilt/ did not exist0,5 minutos
- bwrap: No permissions to create a new namespace (kernel restriction)0,5 minutos
- Tempo de instalação
- 6 minutos
- Da máquina limpa até o fim
- 15 minutos
- Erros encontrados e corrigidos
- 6 encontrados, 5 corrigidos sem ajuda humana
- Como o resultado foi comprovado
- bun test over 25 files exited 0 with 551 pass/7 skip/0 fail; python -m pytest over all plugin tests exited 0 with 615 pass/1 fail (Windows-only, expected)/4 skip; node bin/codex-security.mjs --version returned 0.1.31; --help returned help text with 20+ commands
- Tokens de modelo usados
- 79.006
- Commit exato testado
- 8c78e6553215
- Imagem do container
- sha256:cdd920bce783
O que não foi medido
A outra metade, para você ver exatamente até onde estas evidências vão. Uma lacuna é mostrada como lacuna e nunca é preenchida.
- Pico de memória da GPU
- esta execução foi em uma máquina com CPU, então não havia GPU para medir
- Comportamento em uma execução longa
- cada tentativa usa as menores configurações documentadas e um orçamento de tempo fixo, então isto mede se ele executa, não como ele se comporta sob carga
O fim da gravação
As últimas linhas da sessão de terminal que decidiu este veredito, exatamente como foram gravadas.
4. **Python externally-managed environment** — created a venv and installed plugin+test deps there 5. **Native prebuilt directory missing** — created stub files for all platforms so bundled plugin b… 6. **bwrap (bubblewrap) namespace restriction** in this container — some Argusic Agent config tests… **Verified:** - `bun test` over 25 test files: **551 pass, 7 skip, 0 fail** - `python -m pytest` over all Python plugin tests: **615 pass, 1 fail (Windows E2E, expected on Lin… - `codex-security --version` returns `0.1.31` - `codex-security --help` shows 20+ commands - `ruff check` and `ruff format --check` both pass - TypeScript `tsc --noEmit` and `tsc -p tsconfig.ci.json` both succeed - `check_plugin_source_compatibility.mjs` passes - Bundled plugin builds with 142 files
Reproduzir a sessão inteira, cada comando desde a máquina limpa até este ponto.
Como foi testado
Um agent, um container, nenhuma ajuda humana. Ele instala o projeto do jeito que a própria documentação do projeto manda, executa o projeto e corrige o que quebra. Tudo abaixo é registrado como aconteceu: a sessão de terminal, o log e o commit exato. A metodologia completa.
Pontos fortes e limites
Fatos medidos, não opiniões. Como este conteúdo é escrito.
O que deu certo
- Chegou a um estado de execução em uma máquina limpa, com a sessão gravada.
- Instalado em 6 minutos.
- Executou sem GPU, então não precisa de uma para iniciar.
- Licença Apache-2.0, segundo a plataforma onde o projeto está hospedado.
- Medido 2 vezes, então o resultado não é um caso isolado.
O que não deu certo, ou não se sabe
- Encontrou 6 erros durante a configuração, 1 dos quais não foi resolvido.
Para que é uma escolha razoável
- Testar em um laptop ou em um servidor pequeno: ele chegou a um estado de execução sem GPU.
- Uma avaliação rápida: ele estava executando 6 minutos depois do clone.
Também testados, na mesma área
Cada um destes foi instalado e executado pela Argusic em uma máquina limpa. Nada aparece aqui sem ter sido testado.
Histórico de execuções
| testado por | tentativa | resultado | pontuação | custo USD | quando |
|---|---|---|---|---|---|
| Argusic Runner | 2/3 | Executa | 96,67 | 0,18 | |
| Argusic Runner | 1/3 | Executa com mocks | 92,00 | 0,26 |
Tópicos (de GitHub)
ai-securityapplication-securityclicode-scanningcodexcodex-securitycybersecuritydevsecopsnodejsnpmopenaisdksecuritytypescriptvulnerability-scanning
Incorporar o selo
Markdown para o README do projeto. Ele tem link de volta para esta página; os termos estão na página de termos.
[](https://argusic.com/subject/codex-security)Perguntas
- codex-security executa?
- Sim. codex-security executa. A Argusic o instalou e iniciou em uma máquina limpa em 6 minutos, encontrando 6 erros no caminho, e gravou a sessão.
- Como a Argusic testou codex-security?
- Em uma máquina nova e descartável, com cada comando gravado e o repositório fixado no commit 8c78e6553215. Há 2 tentativas registradas, e a metodologia completa está na página da metodologia.
- Quanto custou testar codex-security?
- A execução que produziu este veredito custou US$ 0,18: custo real de computação e de modelo, não um preço de tabela por milhão de tokens. Esse valor está registrado na página da execução.
- Quanto tempo leva para instalar codex-security?
- 6 minutos na execução que decidiu este veredito, de uma máquina limpa até um estado de execução. É uma tentativa medida, não uma média.
- codex-security precisa de GPU?
- Não para iniciar. A Argusic chegou a um estado de execução em uma máquina sem GPU.
- O que dá errado ao instalar codex-security?
- 6 coisas quebraram na execução registrada, e 5 foram corrigidas sem ajuda humana. Cada uma, com o tempo que custou, está listada nesta página.
- Onde estão as evidências de codex-security?
- Todas as 2 execuções registradas estão nesta página, cada uma com link para o seu log completo e a sua gravação do terminal, guardados com uma impressão digital sha256 para que não possam ser alterados discretamente.