Bezpečnost aplikací
Codex Security
AI od OpenAI, která projde kód vaší aplikace a hledá místa, kudy by se dalo dostat k cizím datům nebo penězům.
Autor: Jindřich Fáborský · 17 let v marketingu · 2 000+ hodin vibe codingu · 180+ projektů
Bezpečnostní audit
Najděte díry dřív než útočník.
Rychlá odpověď
Co je tedy Codex Security?
Codex Security je bezpečnostní kontrola kódu od OpenAI. Projde vaši aplikaci, najde díry jako chybějící kontrolu oprávnění nebo uniklé klíče, ověří je a navrhne opravu.
Spustíte ho příkazem v terminálu, v Codexu nebo v cloudu nad GitHubem. Prázdný report ale neznamená bezpečnou appku.
Jak scan probíhá
Co se během scanu děje
Nejdřív pochopí appku, pak čte kód a podezřelá místa zkoumá zblízka. Proklikejte si fáze reálného scanu.
- ◦Using stored Codex credentials
- ◦Started preflight
- ◦Planning initial codebase scans and tool discovery
Fáze 1 z 5
Zkontroluje přihlášení a spočítá soubory
Ověří, že jste přihlášení, a sepíše, které soubory spadají do scanu.
Už tady vidíte rozsah. Čím víc souborů, tím delší a dražší scan.
Řádky jsou zkrácené z reálného scanu webu Marketing Festivalu. Fáze v terminálu se mohou mezi verzemi nástroje lišit.
Kde ho spustíte
Tři způsoby, jak Codex Security pustit
Pod kapotou je stejný scanner. Liší se tím, kde běží a jak s nálezy pracujete.
Cloud nad GitHubem
Codex na webu nebo v desktop aplikaci
Hlídá repozitář průběžně a prověří každý nový commit, i když máte notebook zavřený.
Research preview, platí se z kreditů.
Plugin v Codexu
ChatGPT desktop aplikace nebo Codex CLI
Nálezy procházíte s agentem v rozhovoru a rovnou se doptáváte.
Hodí se, když už v Codexu pracujete.
Příkaz v terminálu
Balíček @openai/codex-security
Opakovatelný scan na jeden příkaz, výsledky ve složce u vás na disku.
Open source, dá se zapojit i do CI.
Popis podle dokumentace OpenAI, stav k 27. 10. 2026.
Jak na to
První scan v pěti krocích
Začněte menší částí appky se stropem ceny. Scany přes OpenAI vyžadují přístup ke Codex Security a které tarify ho mají, OpenAI neuvádí. Prozradí vám to první krok.
- 1
Přihlaste se
terminálnpx @openai/codex-security loginPřihlášení přes ChatGPT. Potřebujete Node.js 22.13+ a Python 3.10+.
- 2
Nechte si napsat SECURITY.md
terminálnpx @openai/codex-security policy .Návrh popisu, co appka chrání. Přečtete, upravíte, scan pak míň střílí vedle.
- 3
Zkuste nanečisto
terminálnpx @openai/codex-security scan . --dry-runZkontroluje nastavení, nic neodešle a nic nestojí.
- 4
Pusťte scan na menší část
terminálnpx @openai/codex-security scan . --path src/app/api --show-cost --max-cost 20 --output-dir ~/scany/moje-appkaJen jedna složka, průběžný odhad ceny v dolarech a strop 20 $. Výsledky mimo repozitář.
- 5
Nechte si nálezy vysvětlit
terminálnpx @openai/codex-security findingsVypíše otevřené nálezy. Soubor report.md pak dejte svému AI agentovi a nechte si každý nález vysvětlit česky.
Pro pokročilé: změny, hloubkový scan, CI+
--diff origin/mainprojde jen commity proti hlavní větvi,--working-treenecommitnuté změny.--mode deeppustí víc paralelních hledačů a běží, dokud čtyři kola po sobě nenajdou nic nového.--fail-on-severity highshodí build v CI, když najde vážný nález.install-hookpřidá kontrolu před každým commitem.exportuloží nálezy jako SARIF, JSON nebo CSV, třeba pro GitHub code scanning.patch --scan latest --severity highopraví vážné nálezy z posledního scanu.
Kompletní přehled v dokumentaci CLI a v repozitáři openai/codex-security.
Z praxe
Co prověřoval na webu Marketing Festivalu
Jindřich Fáborský
autor kurzu AI First
Pustil jsem Codex Security na celý web Marketing Festivalu: 552 souborů, platby přes Stripe, fakturace, administrace.
Po 7 minutách měl za sebou 26 souborů a ukrojil 4 % týdenního limitu Codexu. Prověřoval přesně to, co bych prověřoval já: přístup do administrace, podpisy plateb, únik osobních údajů do logů.
Cena a vaše data
Kolik to stojí a co se děje s vaším kódem
Kolik zaplatíte, záleží na tom, jak scan spustíte.
Přihlášení přes ChatGPT
z limitu Codexu
Nic navíc neplatíte. Prvních 7 minut scanu webu s 552 soubory ale ukrojilo 4 % týdenního limitu.
S API klíčem
podle tokenů
Platíte spotřebu. Hlídejte ji přepínači --show-cost a --max-cost.
Cloud nad GitHubem
z kreditů
Od 1. 10. 2026 mimo limit předplatného. Oprávněné účty mají 500 $ kreditů, které nevyprší.
Než scan pustíte
Kód jde do modelu
Čte ho model OpenAI, nebo jiný poskytovatel, kterého zvolíte. Jak dlouho data drží, dokumentace zatím neříká.
Čte i .env
Scan vidí soubory s klíči. Co nepotřebuje, před spuštěním ze složky a proměnných prostředí odstraňte.
Neptá se na svolení
Příkaz běží s právy vašeho účtu a na nic se nezastavuje. Spouštějte ho jen nad kódem, kterému věříte.
Report je citlivý
Obsahuje úryvky kódu a popis děr. Ukládejte ho mimo repozitář a nesdílejte ho dál.
Varování podle dokumentace CLI.
Na co si dát pozor
Co scan nezkontroluje
Vidí jen kód v repozitáři. Nastavení a data mimo něj za vás neprojde.
Může minout díru
I scan bez nálezů může zranitelnost přehlédnout, píše OpenAI. Ověřte v manifestu, že doběhl celý.
Nálezy i opravy čtěte
Podle Grega Kroah-Hartmana, správce linuxového jádra, je aspoň třetina výstupů AI při hledání chyb špatně nebo škodí. Nic nepouštějte naslepo.
Dejte mu kontext
SECURITY.md s popisem, co chráníte a kdo je uživatel, odfiltruje falešné poplachy. Nálezy, které nesedí, označte přes findings false-positive.
Srovnání
Codex Security, /security-review, nebo Claude Security?
/security-review projde jen změny na větvi, další dva umí celý repozitář. Claude Security je plugin do Claude Code, plná verze s modelem Mythos běží na Claude.ai jen pro firmy s tarifem Enterprise.
| Codex Security | /security-review | Claude Security | |
|---|---|---|---|
| Od koho | OpenAI | Anthropic | Anthropic |
| Co projde | celý repozitář, vybrané složky nebo změny | jen změny na větvi (git diff) | celý repozitář nebo změny |
| Kde běží | terminál, Codex, cloud nad GitHubem | příkaz v Claude Code | plugin v Claude Code |
| Opravy | navrhne a ověří patch | na vyžádání v rozhovoru | navrhne patch |
| Kdy sáhnout | důkladný audit celé appky | rychlá kontrola před commitem | audit, když žijete v Claude Code |
Pracujete v Claude Code? Začněte příkazem /security-review. Před spuštěním appky s platbami nebo osobními daty se vyplatí projít celý kód důkladněji.
Naučte se postavit vlastní appku
V kurzu AI First se naučíte vibe coding a v lekci 8 postavíte vlastní aplikaci s databází a přihlašováním na Supabase a Vercelu. Krok po kroku, i bez programátorské minulosti.
10 lekcí, 24 hodin videí, 1 900+ absolventů.
FAQ
Časté otázky
Co je Codex Security?+
Bezpečnostní nástroj od OpenAI, který projde kód vaší aplikace a hledá v něm zranitelnosti: chybějící kontrolu oprávnění, uniklé klíče, chyby v platbách nebo únik osobních dat. U nálezu doloží důkaz, určí závažnost a umí navrhnout i ověřit opravu. Běží v cloudu nad GitHubem, jako plugin v Codexu nebo jako samostatný příkaz v terminálu.
Kolik Codex Security stojí?+
Záleží na tom, jak ho spustíte. Příkaz v terminálu přihlášený přes ChatGPT ukrajuje z týdenního limitu Codexu ve vašem předplatném, nic navíc se neplatí. S API klíčem platíte spotřebované tokeny. Cloudové scany GitHub repozitářů založené po 1. 10. 2026 se platí z kreditů mimo limit předplatného a oprávněné účty na ně dostaly 500 $ kreditů, které nevyprší.
Platí se scan z API kreditů?+
Jen když ho spustíte s API klíčem (přepínač --auth api-key nebo proměnná OPENAI_API_KEY). S přihlášením přes ChatGPT (--auth chatgpt) jde scan z limitu Codexu ve vašem tarifu. Kolik ho zbývá, ukazuje řádek LIMITS přímo ve scanu.
Posílá Codex Security můj kód do OpenAI?+
Ano. Kód čte model OpenAI (nebo jiný poskytovatel, kterého si zvolíte přepínačem --provider). Dokumentace Codex Security zatím neuvádí, jak dlouho OpenAI data ze scanu drží ani jestli se na nich model učí. Scan čte i soubory s klíči, třeba .env, takže před scanem citlivé věci, které nepotřebuje, ze složky a proměnných prostředí odstraňte.
Najde Codex Security všechny bezpečnostní chyby?+
Ne. Podle dokumentace OpenAI může i scan bez nálezů zranitelnosti minout a pokrytí není stejné napříč jazyky a částmi kódu. Nevidí ani nastavení mimo repozitář, třeba v administraci databáze nebo hostingu. Je to pečlivá druhá kontrola. Bezpečnost appky vám nepotvrdí.
Jaký je rozdíl mezi Codex Security a /security-review v Claude Code?+
/security-review je příkaz uvnitř Claude Code, který projde vaše poslední změny (git diff) a vypíše nálezy. Codex Security umí projít celý repozitář, sestaví si model hrozeb, nálezy ověřuje, ukládá je mezi scany a dá se pustit v CI. Je důkladnější, ale taky pomalejší a víc ukrojí z limitu.
Musím umět programovat, abych ho použil?+
Spustit ho zvládnete jedním příkazem. Nálezy jsou ale technické a v angličtině, takže se hodí aspoň rozumět, jak vaše appka funguje. V praxi pomáhá dát report AI agentovi a nechat si každý nález vysvětlit česky, než se rozhodnete ho opravit.