Codex Security: precios, configuración, análisis local y Cloud, y resultados

Codex Security es un agente de seguridad que detecta posibles vulnerabilidades en el código, comprueba las pruebas y ayuda a preparar correcciones. La primera distinción es entre el plugin que se utiliza en el entorno local de Codex y Codex Security Cloud, que se conecta a GitHub. Aunque sus nombres se parecen, difieren en la configuración, el entorno de ejecución y las condiciones de facturación.

Este artículo explica cómo elegir una opción, los precios y las asignaciones gratuitas, el primer análisis, los recursos que requieren los análisis más profundos, la interpretación de resultados y la comprobación de correcciones. Se basa en documentación de OpenAI revisada el 7 de octubre de 2026. No hemos ejecutado un análisis del producto, por lo que no presentamos mediciones de precisión, duración ni consumo real.

Fuentes: OpenAI, descripción de Codex Security y primeros pasos con el plugin local.

Elegir entre análisis locales, Cloud y revisiones habituales

Para un cambio pequeño, también puedes entregar a tu chat habitual de Codex un diff y tus criterios de revisión. Eso no significa que genere automáticamente los archivos de un analizador específico ni registros de cobertura. Pedir una revisión de código y ejecutar un análisis de Codex Security son acciones distintas. Para elegir entre herramientas de programación en general, consulta nuestra comparación de Claude Code y Codex.

Cloud es una versión preliminar de investigación y requiere acceso para el espacio de trabajo correspondiente. También en la CLI independiente, que el paquete sea público no significa necesariamente que tu cuenta tenga permiso para analizar código. Según la cuenta y el repositorio, un análisis completo puede requerir además el acceso «Trusted Access for Cyber». El nombre de una suscripción, como Pro, no demuestra que tengas acceso a todas las opciones. Si no aparece una opción, comprueba si el plugin está habilitado, tus permisos de acceso y la configuración administrativa de tu organización.

Fuentes: OpenAI, descripción y requisitos de acceso y revisiones de seguridad de cambios de código.

Precios y asignaciones gratuitas: compruébalos incluso con Pro

Los análisis de Cloud quedan fuera de la asignación habitual del plan

Las preguntas frecuentes de Cloud de OpenAI explican que los análisis de repositorios y los análisis continuos configurados a partir del 1 de octubre de 2026 a las 12:53, hora del Pacífico, se facturan en créditos o dólares estadounidenses según las tarifas de tokens del plan. No están incluidos en la asignación habitual del plan. Los créditos gratuitos de análisis de las cuentas elegibles se aplican antes del uso de pago.

Los 500 USD no son un pago en efectivo ni una ventaja garantizada para todos los usuarios. Cuando se agota el saldo gratuito, se aplican las reglas de facturación de la cuenta o del espacio de trabajo. Antes de empezar, comprueba en la interfaz tu elegibilidad, el saldo gratuito restante y las condiciones del uso de pago.

El «coste» mostrado no equivale necesariamente a tu factura

En Cloud, abre el análisis correspondiente desde «Scans» para ver sus tokens y su coste. Al pasar el cursor sobre los tokens, aparece el desglose de entrada, entrada en caché y salida. El coste mostrado se calcula antes de aplicar créditos gratuitos o exenciones, así que distingue la deducción de créditos gratuitos del cargo real. Los análisis marcados como «Exempt from billing. No charges apply.» no generan cargos.

Fuente sobre facturación, asignaciones gratuitas y costes mostrados: OpenAI, preguntas frecuentes de Codex Security Cloud: facturación. El momento de corte utiliza la hora del Pacífico, tal como indica la documentación.

No atribuyas al plugin local la asignación gratuita de Cloud

El plugin local se ejecuta como una tarea de Codex. Según las reglas generales de uso de Codex, el consumo depende de la suscripción, el modelo, la carga de trabajo y el método de autenticación; el trabajo local adicional autenticado con una clave API se somete a la facturación de la API. Sin embargo, la guía de configuración local, la documentación de Standard y Deep y las preguntas frecuentes de la CLI que revisamos no ofrecen ni un precio fijo por análisis ni una tabla de precios independiente que cubra todos los usos del plugin. No podemos afirmar que los análisis locales no consuman nada ni que utilicen los 500 USD de Cloud.

Comprueba tu asignación restante de Codex en la interfaz de uso o mediante /status dentro de Codex CLI. Los costes de los análisis de Cloud también deben comprobarse en Cloud. Para comparar suscripciones, consulta nuestra guía de precios y asignaciones de uso de Pro.

Fuentes: OpenAI, precios y uso de Codex y Work y selección de autenticación de la CLI.

Primer análisis: pasos y ejemplo de solicitud

A continuación se describen las instrucciones oficiales de configuración. Analiza solo código propio o que tengas permiso para inspeccionar. En el primer análisis, comprueba la rama y revisión objetivo, la ubicación de salida y el método de autenticación. Empezar con Standard facilita el seguimiento del proceso.

El plugin local en la aplicación de escritorio

1. Busca «Codex Security» en la lista de plugins, instálalo y habilítalo. La versión Cloud es un plugin independiente.
2. Abre «Security» → «Scans» → «+ Scan» en la barra lateral.
3. Selecciona un repositorio y elige «Codebase» para analizar su código. Deja «Deep scan» desactivado en el primer análisis.
4. Comprueba las carpetas que se inspeccionarán, la rama y revisión actuales, el modelo y el esfuerzo de razonamiento.
5. Si hace falta, añade puntos de entrada públicos, reglas de autorización y operaciones importantes en «Additional context».
6. Selecciona «Start scan» y sigue el progreso de cada etapa. Al terminar, lee la cobertura y las pruebas.

En Codex CLI, instálalo mediante /plugins y utiliza /new para crear un nuevo chat del repositorio objetivo. Nombrar explícitamente el análisis específico y su objetivo deja un registro más claro de tu solicitud que pedir simplemente «revisa la seguridad».

Ejecuta un análisis Standard con Codex Security centrado en services/billing.
Prioriza las entradas de usuario, las comprobaciones de propiedad de la información de facturación y las operaciones administrativas.
En esta tarea, solo inspecciona e informa. No modifiques el código fuente, ni hagas commit, push o despliegues, ni cambies la configuración de facturación.
Indica la revisión objetivo, el alcance inspeccionado, las áreas excluidas o sin terminar y las pruebas de reproducción.
Si se necesita cambiar una configuración, explica el cambio propuesto y el motivo, y detente.

Esta es una solicitud de ejemplo, no una configuración de aislamiento que imponga permisos. Los análisis pueden requerir archivos de salida y tareas de validación. No supongas que unas restricciones escritas bastan para proteger todo el equipo; comprueba también los permisos de ejecución.

La versión Cloud conectada a GitHub

1. Instala «Codex Security Cloud» y comprueba su conexión de GitHub con el repositorio objetivo.
2. En «Scan», selecciona el repositorio y el entorno. «Auto» crea un entorno al iniciar; utiliza «Customize» para comprobar un entorno ya preparado.
3. Elige «One-Time Scan» para una inspección puntual o «Continuous Scanning» para supervisar futuros commits.
4. Comprueba los precios, el saldo gratuito y el objetivo antes de seleccionar «Create» para empezar.

El análisis continuo se dirige a la rama predeterminada del repositorio. Cuanto más amplio sea el historial de commits, más tarda la inspección inicial. Para detener la supervisión, abre «Repositories» → el repositorio objetivo → «Monitoring settings», pausa la supervisión y guarda. Cerrar la ventana no la detiene.

Fuentes: OpenAI, configuración del plugin y configuración y supervisión de Cloud.

Standard y Deep: ajustar el alcance y los recursos

Los valores predeterminados oficiales de Deep son 4 trabajadores simultáneos, 3 subagentes por trabajador y una duración máxima de 96 horas. Las 96 horas son un límite configurado, no la duración típica de un análisis. Configurar el límite temporal requiere la versión 0.1.19 del plugin o posterior. Al alcanzarlo, los trabajadores que no han terminado se detienen y se consolidan los resultados completados. Las áreas no inspeccionadas siguen sin inspeccionar.

Primero limita el objetivo a un servicio coherente y lee los resultados de Standard antes de decidir si necesitas Deep. También puedes concentrar la inspección profunda en áreas importantes, como pagos o autenticación. Reducir el número de trabajadores o la duración puede disminuir los recursos necesarios, pero también dejar más problemas sin descubrir. Registra el alcance cubierto por el análisis que hiciste más barato o rápido.

Utiliza «Changes» para inspeccionar un diff. Puedes elegir cambios sin commit, un solo commit o revisiones base y objetivo, pero Deep no está disponible para los análisis de Changes. Estos inspeccionan el diff y el código directamente relacionado; no se amplían automáticamente a una auditoría de todo el código.

Fuentes: OpenAI, Standard, Deep y valores predeterminados, cobertura de los análisis de Changes y límites de coste estimados.

Leer la cobertura y las pruebas, no solo el número de hallazgos

El número de hallazgos no basta para determinar la calidad del análisis. Un objetivo equivocado, una interrupción o la falta de reglas de autorización pueden producir cero hallazgos sin que el código sea seguro. El flujo oficial de Standard también recomienda leer primero la revisión, las áreas inspeccionadas y aplazadas y las pruebas de cada hallazgo.

1. ¿Es correcto el objetivo? Comprueba el repositorio, la revisión y el alcance. No uses resultados de código antiguo como garantía sobre la versión actual.
2. ¿Qué no se inspeccionó? Comprueba las áreas excluidas, aplazadas e interrumpidas. Un indicador de finalización no significa que se haya cubierto todo el código.
3. ¿Se sostienen las pruebas? Examina el recorrido desde la entrada hasta el comportamiento peligroso, las defensas existentes y el método y resultados de reproducción.
4. ¿Requiere una corrección? Evalúa la posibilidad real de alcanzar el problema y su impacto; después, corrige los hallazgos aceptados uno a uno.

report.md es el punto de entrada legible. El archivo estructurado coverage.json registra las áreas inspeccionadas y aplazadas, mientras que findings.json describe las ubicaciones, la gravedad, las pruebas y las recomendaciones de corrección de los hallazgos. findings/ puede contener informes detallados y archivos de reproducción. Conserva los archivos relacionados junto al informe cuando compartas o archives los resultados.

La CLI independiente registra la cobertura como complete, partial o unknown. La cobertura marcada como partial o unknown produce el código de salida 2. Aunque un hallazgo desaparezca en un análisis posterior, no puedes considerarlo corregido si no se inspeccionó la ruta original. La validación automática de Cloud también intenta reproducirlo. Un resultado no validado no demuestra que el código sea seguro.

Fuentes: OpenAI, evaluación de análisis Standard, cobertura y comparaciones de la CLI y validación automática de Cloud.

Correcciones, verificación e información confidencial

Explica las reglas de autorización para facilitar la evaluación

Incluye en el contexto del análisis quién debe poder realizar cada operación. Por ejemplo: «Solo el propietario y los administradores pueden acceder a la facturación» o «Solo el propietario de un archivo puede publicarlo». En el plugin local, SECURITY.md puede contener la política de seguridad permanente y AGENTS.md las instrucciones de compilación y validación. En Cloud, revisa el modelo de amenazas generado y completa las carencias en puntos de entrada públicos, operaciones importantes y límites de confianza.

Un modelo de amenazas describe brevemente la estructura de la aplicación y las condiciones que debe proteger. Los cambios en Cloud se aplican a análisis futuros. Cambiar los supuestos no modifica retroactivamente lo inspeccionado en un informe anterior.

Corrige un hallazgo cada vez y comprueba la reproducción y el funcionamiento normal

1. Acepta un hallazgo: Revisa las pruebas y el impacto real y elige uno para corregir.
2. Genera un parche pequeño: En la interfaz local, elige «Patch» → «Generate patch». Generar una propuesta y aplicarla al directorio de trabajo objetivo son pasos distintos.
3. Lee el diff: Comprueba que no incluya limpieza ajena al problema ni cambios que debiliten otras defensas antes de elegir «Apply patch».
4. Verifica la corrección: Utiliza «Verify fix» para comprobar la reproducción original y el funcionamiento normal. Si es posible, conserva una prueba de regresión que falle antes de corregir y pase después.
5. Cierra el hallazgo: La verificación no lo cierra automáticamente. Revisa las lagunas de las pruebas y ciérralo con un motivo o sigue investigando.

Cuando Cloud ofrece un parche, el flujo también incluye revisarlo antes de crear un borrador de PR. Registra por separado la propuesta, la aplicación, la verificación y el despliegue en producción. Consulta también nuestras comprobaciones antes de publicar aplicaciones creadas con IA , en lugar de depender de un único analizador para todas las decisiones.

«Local» no significa que nada salga de tu equipo

Incluso en una ejecución local, comprueba por separado el tratamiento de las solicitudes de inferencia del modelo y de la información de validación. Las instrucciones oficiales de la CLI independiente advierten de que los análisis usan permisos del sistema operativo local, no se detienen para aprobar cada operación y pueden heredar variables de entorno. No supongas que tienen los mismos permisos que un chat habitual de Codex. Prepara un entorno sin credenciales innecesarias.

Los registros guardados no se depuran necesariamente de forma automática y pueden contener código fuente o credenciales. Los archivos generados también pueden incluir pasos de reproducción y detalles de vulnerabilidades. Revisa tanto su contenido como el alcance de la difusión antes de crear un enlace público o compartirlos con terceros. La configuración del entrenamiento de modelos se explica por separado en nuestra guía de privacidad y datos de entrenamiento de ChatGPT y Codex.

Fuentes: OpenAI, SECURITY.md y AGENTS.md, modelos de amenazas de Cloud, correcciones y verificación y permisos, archivos y registros de la CLI independiente.

Lista de comprobación antes de empezar

En el primer análisis, empieza con Standard sobre el alcance que necesitas y comprueba si puedes evaluar los resultados por tu cuenta. Considera Cloud para supervisión continua o la CLI independiente para integrar los análisis en flujos automatizados. Utilízalo como una herramienta que ayuda a descubrir y validar problemas, no como una prueba de seguridad que sustituya al análisis estático existente (SAST) o a la revisión humana.

Preguntas frecuentes