Instala el complemento Codex Security, ejecuta un escaneo estándar de un repositorio local y revisa los hallazgos. El escaneo conserva intacto el código fuente y guarda un informe con las evidencias y orientaciones para corregir los problemas.
Esta página explica cómo usar el complemento Codex Security en la aplicación de escritorio o en Codex CLI. Para escanear un repositorio de GitHub conectado en Codex Cloud, instala el complemento independiente Codex Security Cloud desde el Marketplace de complementos. Consulta la configuración en la nube.
Instala el complemento
-
Abre Complementos y busca Codex Security, o usa el siguiente botón:
-
Confirma que el complemento esté habilitado y abre Seguridad en la barra lateral.
Si aparece el mensaje “Deshabilitado por el administrador” al instalar el complemento en un Espacio de trabajo administrado, pídele a la persona propietaria del Espacio de trabajo que revise el acceso a los complementos. Si usas una cuenta personal, consulta la guía para solucionar problemas con complementos y aplicaciones.
-
En la terminal, ve al repositorio que quieres evaluar e inicia Codex:
codex -
Escribe
/plugins, busca Codex Security y selecciona Instalar complemento. -
Escribe
/newpara iniciar un chat nuevo para el repositorio.
Para instalar Codex Security para un repositorio local, usa la aplicación de escritorio de ChatGPT o Codex CLI.
Si Seguridad no aparece en la barra lateral de la aplicación de escritorio, verifica que Codex esté seleccionado y que el complemento esté habilitado. Actualiza la aplicación y el complemento si es necesario y comprueba si el administrador de tu Espacio de trabajo permite usar el complemento.
Revisa las versiones y las actualizaciones
Consulta el registro de cambios del complemento antes de iniciar un escaneo largo.
Administra la instalación desde Complementos en la aplicación de escritorio o con /plugins
en Codex CLI. Consulta la guía de complementos para obtener más información. Después de actualizar
el complemento, inicia un chat nuevo para cargar sus habilidades y herramientas. En Codex CLI, escribe
/new.
Codex y el complemento Codex Security tienen versiones independientes. En Codex CLI, consulta la versión del host y las versiones de los complementos instalados con estos comandos:
codex --version
codex plugin list --jsonBusca Codex Security en la lista installed. Anota ambas versiones al iniciar un escaneo
para poder incluirlas si informas de una falla.
El paquete independiente @openai/codex-security incluye su propio complemento.
Actualizar ese paquete no actualiza el complemento del Marketplace que se usa en Codex.
Para instalar el paquete y comprobar las versiones, consulta la guía de inicio rápido de la CLI.
Para usar Amazon Bedrock, configura el host de Codex siguiendo la guía de Amazon Bedrock para Codex. El paquete independiente usa su propia configuración de proveedores de Security CLI.
Ejecuta tu primer escaneo
Para obtener los mejores resultados, usa gpt-5.6-sol
con el nivel de esfuerzo de razonamiento xhigh.
Elige un repositorio y configura un nuevo escaneo de seguridad antes de iniciarlo.
-
Abre la configuración del escaneo
Selecciona Seguridad en la barra lateral, abre Escaneos y selecciona + Escaneo.
-
Elige la base de código y el área que vas a escanear
Selecciona un repositorio existente o usa otra carpeta. Elige Base de código, deja desactivada la opción Escaneo profundo y selecciona todo el repositorio o una sola carpeta. Confirma que la rama y la revisión correspondan al código que quieres escanear.
-
Agrega contexto de seguridad
Elige el modelo y el nivel de esfuerzo de razonamiento. Abre Contexto adicional solo cuando necesites describir un vector de ataque, un área sensible desde el punto de vista de la seguridad o un detalle del repositorio que deba orientar la revisión.
Activa el contexto adicional para describir vectores de ataque, áreas prioritarias y pautas de seguridad pertinentes.
-
Inicia el escaneo
Selecciona Iniciar escaneo y sigue las fases del escaneo en el panel de Seguridad. Selecciona Ver actividad para examinar la tarea de Codex que ejecuta el escaneo.
-
Revisa el resultado
Abre el escaneo finalizado para examinar los hallazgos, la cobertura y los archivos del informe disponibles. Usa Hallazgos para revisar los problemas detectados en distintos escaneos o Repositorios para consultar el historial de escaneos de un repositorio.
Revisa los resultados, los hallazgos y la cobertura del escaneo en el panel de Seguridad.
-
Solicita un escaneo estándar
Envía este prompt en el chat nuevo:
Ejecuta un escaneo de Codex Security en este repositorio. -
Deja que finalice el escaneo
Codex ejecuta el escaneo en la terminal sin abrir un espacio de trabajo para configurarlo. Deja la tarea en ejecución hasta que Codex indique que ha finalizado. Si Codex detecta una limitación en la configuración, revisa esa limitación y el cambio exacto que propone antes de aprobar una actualización de la configuración.
-
Revisa el resultado
Revisa el resumen en la terminal y abre el archivo
report.mdgenerado para consultar el resultado completo.
Ejecuta este flujo de trabajo local del complemento en la aplicación de escritorio de ChatGPT o en Codex CLI.
Interpreta el resultado
Comprueba primero qué se escaneó y en qué revisión. Luego, consulta qué áreas se revisaron y cuáles quedaron pendientes. Incluso un escaneo finalizado puede dejar áreas sin cubrir. Una revisión sin hallazgos no descarta necesariamente todas las vulnerabilidades.
Abre un hallazgo y revisa la evidencia del código fuente, los requisitos que tendría que cumplir un atacante, cómo se validó el hallazgo y qué dudas quedan. La validación puede basarse en el análisis del código fuente sin ejecutar un programa que reproduzca el problema. Usa el método y la evidencia registrados para decidir si el problema afecta a tu sistema.
Qué genera el escaneo
En la aplicación de escritorio, los escaneos finalizados se conservan en Escaneos. En Codex CLI, usa el
directorio del escaneo que se indica en la conversación. Abre report.md para leer el resultado.
También puedes solicitar informes detallados de vulnerabilidades en findings/ y propuestas de diseño
en hardening/.
El directorio también contiene scan-manifest.json, findings.json y
coverage.json para su uso con herramientas y automatizaciones. Al compartir o archivar los resultados,
conserva el directorio completo para que los enlaces del informe sigan funcionando.
Elige tu próximo flujo de trabajo
- Configura el alcance y el contexto de seguridad para el próximo escaneo o revisa un cambio en el código.
- Corrige y verifica un hallazgo después de aceptar la evidencia que lo respalda, o dale seguimiento en una incidencia.
Para consultar otros modos de escaneo y flujos de trabajo, vuelve a la descripción general de Codex Security.