OpenAI liberta Codex Security CLI para caçar bugs a partir do terminal

A OpenAI publicou em open source o Codex Security CLI, uma ferramenta de linha de comandos para equipas de desenvolvimento e segurança encontrarem, confirmarem e corrigirem vulnerabilidades diretamente em repositórios de código. O projeto está no GitHub com licença Apache 2.0, o que significa permissões largas para integrar, modificar e até usar em contexto comercial.

Na prática, o Codex Security CLI faz o que a maioria das empresas de base em Portugal anda a montar à mão: varre repositórios, guarda resultados para comparação entre runs, verifica se os patches resolveram mesmo o problema e encaixa tudo em pipelines CI/CD. Também suporta scans em massa por vários repositórios, algo que interessa a quem tem monorepos ou um cemitério de micro-serviços a acumular dívida técnica.

O requisito técnico é relativamente moderno: Node.js 22 e Python 3.10 ou superior, com instalação via npm. Não é dramático para quem já anda em ambientes recentes, mas em muitas equipas com infra legada isto vai ser mais um empurrão para atualizar toolchains. A documentação oficial cobre comandos e formatos de output, o que é essencial se quiseres que isto gere alertas úteis e não apenas mais ruído no Slack.

Este Codex Security era o tal projeto interno “Aardvark” da OpenAI, que começou como preview de investigação para clientes ChatGPT Enterprise, Business e Edu em março de 2026. Em abril, a empresa dizia que o sistema tinha ajudado a corrigir mais de 3.000 vulnerabilidades críticas. O número impressiona à primeira vista, mas sem detalhe sobre o que conta como “crítico” e quantos falsos positivos ficaram pelo caminho, vale sobretudo como argumento de vendas. E a OpenAI está claramente a posicionar isto como resposta ao receio de que a própria IA dê mais poder aos atacantes, algo que já explorámos quando olhámos para como as falhas descobertas por IA ainda não são superpoderes automáticos.

No mercado, o alvo é óbvio: Claude Security, da Anthropic, que também analisa bases de código e sugere patches. Entre um e outro, a diferença real para o programador que está em frente ao terminal é menos a lista de features e mais a integração no fluxo de trabalho. Aqui a OpenAI faz o gesto político certo ao abrir o CLI: ao contrário de mais um painel web fechado, um binário open source encaixa melhor nos scripts e automatismos que já tens, e é mais fácil auditar minimamente o que se passa.

A parte que fica por responder é a de sempre: confiar em ferramentas de IA para segurança não substitui revisões humanas nem práticas básicas decentes. Um scanner mais esperto não resolve passwords hardcoded, servidores desatualizados ou permissões abertas em produção. O Codex Security CLI pode reduzir trabalho chato e ajudar equipas pequenas a chegar a vulnerabilidades que, de outra forma, ficariam escondidas. Mas se a conversa de segurança na empresa for só “instala aí o CLI da OpenAI”, o problema não está no código, está na gestão.

Fonte: The Decoder