用 AI 写代码越来越爽，但漏洞问题被大多数人忽略了。
上周，OpenAI 开源了一个叫 Codex Security 的插件——它能自动扫描代码漏洞、追踪攻击路径并生成修复补丁。AI 写代码之后，谁来替它做体检？
简单说：AI 写的代码，终于有 AI 帮忙体检了。
Codex Security 是什么
Codex Security 是 OpenAI 开发的命令行安全扫描工具。
走的是「模型推理 + 工具调用 + 漏洞验证」的路线：AI 像安全研究员一样阅读代码、寻找漏洞、验证风险，还能提出修复方案，GitHub 仓库 openai/codex-security、npm 包 @openai/codex-security 均已发布。
它的前身可以追溯到 2025 年 10 月 30 日 OpenAI 发布的 Aardvark——当时被描述为「由 GPT-5 驱动的智能体安全研究员」，今年 3 月 6 日，Aardvark 正式更名为 Codex Security 并整合进 Codex。
以研究预览版形式通过 Codex 网页版向 ChatGPT Pro、Enterprise、Business 和 Edu 用户逐步开放。
上周，它正式开源。
相比传统 SAST 静态扫描工具动辄成百上千的误报，Codex Security 的优势在于上下文驱动的精准检测：AI 能理解业务逻辑，大幅降低噪音。误报降到这个程度，日常敢开全自动吗？
让开发者聚焦真实威胁。
它还能通过 OpenRouter、Fireworks 接入第三方模型，Claude Code、Kimi Code 等编程 Agent 均可安装调用。
实测数据：214 个文件扫出 21 个问题
知名科技自媒体「数字生命卡兹克」的实测是它这轮出圈的直接推手：对一个 214 个文件的项目扫描，Codex Security 报告了 21 个安全问题。二十一个问题里，有几个是真漏洞？
其中 1 个高危、11 个中危、9 个低危，单次扫描约消耗 Codex 55 美元额度。
卡兹克在文中直言，自己的 AI 资讯产品 AIHOT 上个月刚遭遇过持续扫描攻击和 DDoS。
被攻击的经历让他意识到：Vibe Coding 把做产品的门槛打下来了，但安全是多数人忽略的一环。
这个背景非常典型。
现在很多非开发者群体借助 Codex。
Claude Code 这样的编程 Agent 做出产品并为他人提供服务，产品上线后才发现代码里埋了一堆坑——文件上传入口可能被脏数据爆破，新接的登录方式可能带来权限漏洞、给产品加了 AI 能力可能因为限流没做好被人几分钟烧掉几千块 API 额度。
怎么用：三步装好
安装使用并不复杂：通过 npm 安装 @openai/codex-security，在项目目录运行扫描命令。
AI 会读取代码、定位漏洞并给出修复建议。
官方文档（learn.chatgpt.com/docs/security/cli）提供了完整说明，卡兹克建议的使用策略是：产品上线前扫一遍；用便宜的模型（如 DeepSeek V4 Flash）跑高频扫描，大版本上线前再换更强的模型做深度审查。
四个必须知道的局限
第一，它仍处于早期阶段：发布初期曾出现短暂的认证问题（已修复），视频类内容暂无法处理。
第二，「证明可达性」能力待验证——真正验证漏洞可利用性，需要能生成并执行 PoC，这一点仍需实践检验，第三，由于每轮探索路径可能不同，同一项目重复扫描结果可能有差异：大漏洞大概率不变，但中低风险漏洞单次可能漏扫。
建议用两个模型交叉扫描或定期扫描。
第四，它只能检查你交给它的项目，代码仓库之外的 CDN、WAF、DDoS 防护、日志告警和备份问题，它看不到。仓库之外的那些坑，工具真看不到吗？
所以，Codex Security 不是「扫一次保平安」的银弹，而是把 AI 安全分析推向工程化落地的第一步。
对独立开发者、副业党、小团队来说，先扫一遍再上线，至少别让产品「裸奔」——这个习惯本身，就值回票价。
为什么这事值得普通人关注
很多人觉得「代码安全」是程序员的事，跟自己无关。
但在 2026 年，这个判断正在失效：越来越多非技术背景的人用 AI 编程工具做出了自己的小程序、小工具、网站并对外提供服务。不会写代码的人，会用这套工具吗？
卖课、接单、做产品都绕不开「上线」这一步。
AI 帮你把产品做出来了，但它不会替你承担安全问题——漏洞、盗刷、API 额度被烧，这些风险最终都落在产品所有者头上，Codex Security 开源的意义，在于把过去需要专业安全工程师才能完成的漏洞扫描，变成一条命令行就能执行的动作。
它未必完美，但至少让「不会写代码的人」也有了给产品做安全检查的手段。
安全不是上线之后才想的事，而是产品生命周期里的默认环节——这个认知，对每一个用 AI 做产品的普通人都适用。
想上手的话，可以看Codex这个页面把功能、价格和步骤整理全了。
