Codex Security
La nueva CLI Codex Security de OpenAI, de código abierto, una herramienta que analiza bases de código en busca de vulnerabilidades usando GPT‑5.6 Sol, está generando tanto interés como frustración. Los primeros usuarios informan de fallos de autenticación, análisis largos y opacos, barandillas de seguridad agresivas que se niegan a explicar los problemas encontrados y costes de tokens inesperadamente altos que pueden agotar las cuotas de ChatGPT a mitad de ejecución. Se elogia el proyecto por sus “habilidades” reutilizables y su armazón centrado en CI, pero muchos cuestionan su utilidad para el trabajo real de seguridad sin acceso cibernético especial o soporte de modelos locales, y expresan preocupación por enviar código propietario a un servicio de IA alojado.
Problemas de lanzamiento y autenticación
- Varios usuarios encontraron fallos de autenticación al iniciar; se lanzó rápidamente una corrección.
- Variables de entorno como
OPENAI_API_KEY/CODEX_API_KEYpueden anular los inicios de sesión de ChatGPT/Codex, lo que causa confusión.
Barandillas, rechazos y acceso cibernético
- Muchos informes señalan que la herramienta funciona durante decenas de minutos, consume cuotas significativas de tokens y luego se aborta debido a barandillas de ciberseguridad.
- Los usuarios critican que se les cobre cuando el modelo “encuentra un problema pero se niega a explicarlo”, calificándolo de exasperante y sugiriendo reembolsos en esos casos.
- El personal de OpenAI dice que la CLI no elude la seguridad del modelo; Trusted Access for Cyber (TAC1/Daybreak) puede reducir los rechazos para mantenedores OSS verificados y empresas, pero no es un bypass general.
- Algunos consideran que el sistema de seguridad hace que la herramienta sea “prácticamente inútil”, especialmente en comparación con modelos menos restringidos.
Coste, límites de tasa y problemas de UX
- Varias anécdotas indican que los análisis consumen una gran parte del uso semanal de Pro/Plus o cuestan de decenas a cientos de dólares, a veces fallando por límites de tasa o por cambios en HEAD del repositorio.
--max-costexiste, pero no evita por completo ejecuciones largas fallidas; los resultados parciales se guardan, pero aún no pueden reanudarse.- Los usuarios quieren un progreso más claro, visualización del uso de tokens y avisos tempranos sobre los requisitos de acceso cibernético.
Alcance, capacidades y arquitectura
- La CLI se describe como una envoltura sobre modelos existentes más 13 “habilidades” de seguridad (especificaciones de prompt en inglés) y un armazón: análisis a nivel de organización, deduplicación, seguimiento de falsos positivos, controles de presupuesto, integración con CI.
- En comparación con el complemento de Codex, se orienta a flujos de trabajo multirrepositorio, históricos y de CI.
- No es un escáner sin conexión; el contexto del código se envía a los modelos alojados de OpenAI.
Privacidad de datos y backends alternativos
- Preocupan las cargas de código propietario; OpenAI señala que los datos de negocio/empresa no se usan para entrenamiento por defecto, pero dice que las organizaciones que prohíban la salida de datos aún no deberían usarlo.
- El soporte oficial para endpoints locales o compatibles con OpenAI está “en progreso”; los usuarios ya hablan de enrutar a través de otros proveedores y modelos de pesos abiertos.
Ecosistema, comparaciones y preocupaciones más amplias
- Surgen comparaciones con Snyk, open-code-review de Alibaba, Strix, Mantis de Google y modelos chinos (p. ej., Kimi); algunos ven Codex Security sobre todo como un armazón pulido.
- Algunos argumentan que las herramientas de IA tanto introducen como ayudan a encontrar vulnerabilidades (“un cuerpo de bomberos dirigido por incendiarios”), mientras que otros se centran en el valor práctico independientemente de su origen.
- Hay interés, pero también una fuerte frustración por los costes, los rechazos de seguridad y el pulido operativo de una herramienta procedente de una empresa grande y bien financiada.