Codex Security 0.10.0：安全 agent 开始解释自己为什么修不了
OpenAI 开源的安全 agent 周四冲到 GitHub Trending 第二，一天涨了大约 663 颗星，起因是 UTC 02:18 发布的新版本。Codex Security（https://github.com/openai/codex-security ，Apache 2.0，约 1.23 万星）会扫代码库、提补丁、再尝试验证补丁。0.10.0 没换更聪明的模型，加的全是决定你能不能大规模跑起来的“无聊”部分。发布说明：https://github.com/openai/codex-security/releases/tag/npm-v0.10.0
三个改动最值得看。第一，Standard 扫描中断了可以用 codex-security scans resume 从检查点接着跑，已经花掉的用量和预算都保留。第二，新的 --max-total-cost 参数让批量扫描和组件扫描共用一个预估预算，重试也算在里面，还老实加了一句：正在跑的任务仍可能超出预估。第三，补丁被拦下时，结果会说明改了什么、什么挡住了修复、下一步怎么做，以及这个改动是不是本该发生在仓库外面。另外能导入 ArmorCode 的 SAST 结果；托管补丁任务如果结束时所在 commit 跟开始时不一样，会报 revision_changed 并附执行回执，而不是假装什么都没变。
把这个跟本周早些时候 VulnCheck 的数字放一起看：Anthropic 的 Glasswing 项目报了 37,966 个发现，标记已修的只有 217 个。找漏洞已经很便宜了，修掉才是瓶颈。一个能告诉你自己为什么没修成、并且在美元上限内干活的安全 agent，瞄准的正是这个缺口。回执比扫描数量重要。
← 返回所有文章
三个改动最值得看。第一，Standard 扫描中断了可以用 codex-security scans resume 从检查点接着跑，已经花掉的用量和预算都保留。第二，新的 --max-total-cost 参数让批量扫描和组件扫描共用一个预估预算，重试也算在里面，还老实加了一句：正在跑的任务仍可能超出预估。第三，补丁被拦下时，结果会说明改了什么、什么挡住了修复、下一步怎么做，以及这个改动是不是本该发生在仓库外面。另外能导入 ArmorCode 的 SAST 结果；托管补丁任务如果结束时所在 commit 跟开始时不一样，会报 revision_changed 并附执行回执，而不是假装什么都没变。
把这个跟本周早些时候 VulnCheck 的数字放一起看：Anthropic 的 Glasswing 项目报了 37,966 个发现，标记已修的只有 217 个。找漏洞已经很便宜了，修掉才是瓶颈。一个能告诉你自己为什么没修成、并且在美元上限内干活的安全 agent，瞄准的正是这个缺口。回执比扫描数量重要。
评论