OpenAI가 다른 보안 검사 도구의 결과를 가져올 수 있도록 Codex Security를 업데이트했다. 스캔 결과에 범위와 검토 정보를 담는 구조도 바뀌어, 결과를 자동으로 읽는 개발팀은 연동 코드를 고쳐야 한다.

1. OpenGrep의 검사 증거를 검토 흐름으로 연결

2026년 10월 28일 공개된 0.8.0은 OpenGrep 보고서 가져오기를 지원한다. 기존 도구가 찾아낸 문제와 근거를 보안 검토 작업으로 넘기는 기능이다.

보고서는 JSON 형식이나 gzip으로 압축된 형태로 가져올 수 있다. 대상은 로컬 작업 공간인 workbench와 원격 서비스인 Cloud다. 로컬에서 보고서를 불러오거나 원격으로 게시하는 두 경로가 열린다.

가져올 때는 원본 저장소의 URL을 제공하고 외부 가져오기를 활성화해야 한다. 릴리스에 나온 게시 명령, 저장소 지정 옵션, 활성화 설정은 다음과 같다.

publish findings --provider opengrep
--source-repository-url
CODEX_SECURITY_ENABLE_EXTERNAL_IMPORTS=1

가져온 발견 항목에는 원래 스캐너의 증거가 유지된다. 다만 처음에는 평가되지 않은 상태이므로, 가져온 뒤 해당 항목을 검토하는 절차가 이어져야 한다.

2. 검사 범위와 검토 기록의 읽는 위치 변경

결과 구조 변경의 핵심은 검사 범위와 검토 정보를 새 위치에서 읽는 것이다. 스캔이 어디를 대상으로 했는지와 검토가 어디까지 진행됐는지를 연동 코드가 각각 찾아 쓰도록 안내한다.

SDK나 JSON 결과를 읽는 통합은 비교에서 제외할 범위를 찾을 때 ScanResult.coverage와 외부로 내보낸 결과의 같은 이름 필드 대신 review를 사용해야 한다. 기존 필드에 의존하던 결과 비교 로직이 우선적인 수정 대상이다.

검사 방식과 범위는 manifest.scan에서 읽는다. 여기서 manifest는 스캔 정보를 모아 둔 기록으로, 검사 대상을 확인하는 기준점이 된다.

초안을 작성하는 통합은 검토한 영역, 미완료 작업, 열린 질문을 reviewState에 기록하도록 바뀐다. 단순히 검사 대상만 옮기는 것이 아니라 검토 진행 상황을 쓰는 위치도 함께 달라진다.

3. 저장 파일과 자동화 출력도 함께 전환

새 스캔은 더 이상 coverage.json을 쓰지 않는다. 결과 경로를 알려 주던 필드 대신 사용할 이름은 manifestPath다. 저장 파일을 찾아 다음 처리로 넘기는 연동도 변경 대상에 들어간다.

검토 정보는 scan-manifest.json 안의 scan.review에서 읽는다. 기존에 저장한 스캔은 계속 읽을 수 있어, 이번 전환은 새 스캔이 남기는 파일과 이를 소비하는 코드에 초점이 맞춰져 있다.

GitHub Actions를 사용하는 자동화에서는 출력 이름을 coverage-path에서 manifest-path로 바꿔야 한다. 현재 버전으로 만든 스캔에서는 이전 출력이 비어 있으므로, 옛 이름을 읽는 후속 작업은 필요한 경로를 받지 못한다.

업데이트를 적용하는 팀은 결과 비교 로직, 저장 파일 경로, 자동화 출력 연결을 함께 점검하는 편이 좋다. 같은 결과를 읽더라도 코드가 접근하는 지점에 따라 바꿔야 할 부분이 달라지기 때문이다.

4. 중단된 검사 재개와 저장 산출물 접근 개선

중단된 심층 검사인 Deep Scan은 추가 지시를 지운 뒤 재개할 수 있다. 중단 전에 사용하던 지시를 정리하고 검사를 이어 가는 복구 경로가 수정됐다.

완료된 로컬 스캔의 저장 산출물은 원래 체크아웃을 옮기거나 제거한 뒤에도 읽을 수 있다. 체크아웃은 검사에 사용한 소스 코드의 로컬 사본으로, 그 위치가 달라져도 완료된 결과에 접근하는 흐름을 지원한다.

릴리스는 스캔 완료와 복구를 단순화한 변경을 호환성 변경 항목에 넣었다. 과거 스캔 기록의 복구를 설명하는 문서도 갱신해, 새 검사뿐 아니라 저장된 결과를 다시 다루는 경로를 손봤다.

5. 결과 재활용의 이익과 연동 수정의 비용

이번 버전의 이익은 기존 스캐너 증거를 활용하고 중단되거나 소스 위치가 바뀐 검사 결과를 이어 다룰 수 있다는 점이다. 그 대가로 기존 자동화에는 결과 필드와 파일 경로, 출력 이름을 새 구조에 맞추는 수정 부담이 생긴다.

가져오기 처리에서는 원격 요청의 바이트 수를 배치, 한 번에 묶어 처리하는 단위마다 전송 형식으로 다시 변환하지 않고 계산하도록 바꿨다. 결과를 다시 처리하는 과정에서도 SQLite 데이터베이스를 불필요하게 읽고 내용을 분석하는 작업을 줄였다. 요청 크기를 계산하고 저장된 결과를 읽는 과정의 중복 작업을 덜어 낸 변경이다.

Codex Security 0.8.0은 외부 검사 증거의 활용 경로를 넓히되, 기존 결과 연동에는 새 구조로 옮기는 작업을 요구하는 업데이트다.