Codex Security: कीमत, सेटअप, स्थानीय बनाम Cloud और स्कैन के नतीजे पढ़ना

Codex Security एक सुरक्षा एजेंट है जो कोड में संभावित कमजोरियाँ ढूँढता है, साक्ष्यों की जाँच करता है और सुधार तक पहुँचने में मदद करता है। सबसे पहले अपने स्थानीय Codex परिवेश में इस्तेमाल होने वाले प्लगइन और GitHub से जुड़ने वाले Codex Security Cloud का अंतर समझें। नाम मिलते-जुलते होने पर भी इनके सेटअप, निष्पादन परिवेश और बिलिंग की जानकारी अलग है।

इस लेख में विकल्प चुनना, कीमत और मुफ्त उपयोग सीमा, पहला स्कैन, गहरे स्कैन में लगने वाले संसाधन, नतीजे पढ़ना और सुधार की जाँच शामिल हैं। जानकारी OpenAI के दस्तावेज़ों पर आधारित है, जिन्हें 7 अक्टूबर 2026 को जाँचा गया। हमने उत्पाद से स्कैन नहीं चलाया है, इसलिए पहचान की सटीकता, स्कैन का समय या वास्तविक उपयोग के माप नहीं दे रहे हैं।

स्रोत: OpenAI, Codex Security का परिचय और स्थानीय प्लगइन इस्तेमाल करने की शुरुआत।

स्थानीय स्कैन, Cloud या सामान्य समीक्षा का चुनाव

छोटे बदलाव के लिए सामान्य Codex चैट को डिफ़ और समीक्षा के मानदंड भी दे सकते हैं। इससे वह अपने आप किसी विशेष स्कैनर की आउटपुट फ़ाइलें या कवरेज रिकॉर्ड नहीं बनाता। कोड की समीक्षा माँगना और Codex Security स्कैन चलाना अलग कार्रवाइयाँ हैं। कोडिंग टूल चुनने की व्यापक तुलना के लिए हमारी Claude Code और Codex की तुलना देखें।

Cloud एक रिसर्च प्रीव्यू है और संबंधित वर्कस्पेस में पहुँच की अनुमति चाहिए। अलग CLI का पैकेज सार्वजनिक होने से भी यह तय नहीं होता कि आपके खाते को स्कैन करने की अनुमति है। खाते और रिपॉज़िटरी के आधार पर पूरे कोडबेस के स्कैन के लिए अतिरिक्त “Trusted Access for Cyber” पहुँच की जरूरत हो सकती है। Pro जैसे सदस्यता नाम से सभी विकल्पों तक पहुँच साबित नहीं होती। कोई विकल्प न दिखे तो प्लगइन सक्रिय है या नहीं, अपनी अनुमति और संगठन की प्रशासनिक सेटिंग जाँचें।

स्रोत: OpenAI, परिचय और पहुँच की आवश्यकताएँ और कोड में बदलावों की सुरक्षा समीक्षा।

कीमत और मुफ्त सीमा: Pro होने पर भी जाँचें

Cloud स्कैन सामान्य प्लान की सीमा में शामिल नहीं हैं

OpenAI के Cloud FAQ के अनुसार 1 अक्टूबर 2026 को दोपहर 12:53 बजे पैसिफ़िक समय या उसके बाद कॉन्फ़िगर किए गए रिपॉज़िटरी स्कैन और निरंतर स्कैन की बिलिंग आपके प्लान की टोकन दरों पर क्रेडिट या अमेरिकी डॉलर में होती है । ये सामान्य प्लान की उपयोग सीमा में शामिल नहीं हैं। पात्र खातों के मुफ्त स्कैनिंग क्रेडिट पहले इस्तेमाल होते हैं, उसके बाद भुगतान वाला उपयोग होता है।

US$500 न नकद भुगतान है, न हर उपयोगकर्ता को मिलने वाला निश्चित लाभ। मुफ्त क्रेडिट खत्म होने पर खाते या वर्कस्पेस के बिलिंग नियम लागू होते हैं। शुरू करने से पहले इंटरफ़ेस में पात्रता, मुफ्त शेष राशि और भुगतान वाले उपयोग की शर्तें जाँचें।

दिखने वाली “cost” जरूरी नहीं कि आपका बिल हो

Cloud में “Scans” से संबंधित स्कैन खोलकर टोकन संख्या और लागत देखें। टोकन संख्या पर पॉइंटर रखने से इनपुट, कैश्ड इनपुट और आउटपुट का विवरण मिलता है। दिखाई गई लागत मुफ्त क्रेडिट या बिलिंग छूट से पहले की होती है, इसलिए मुफ्त क्रेडिट की कटौती और वास्तव में लगने वाले शुल्क को अलग-अलग पढ़ें। “Exempt from billing. No charges apply.” वाले स्कैन पर शुल्क नहीं लगता।

बिलिंग, मुफ्त सीमा और दिखाई गई लागत का स्रोत: OpenAI, Codex Security Cloud FAQ: बिलिंग। निर्धारित समय दस्तावेज़ में दिए पैसिफ़िक समय के अनुसार है।

Cloud की मुफ्त सीमा स्थानीय प्लगइन पर लागू न मानें

स्थानीय प्लगइन Codex टास्क के रूप में चलता है। Codex के सामान्य उपयोग नियमों में खपत सदस्यता, मॉडल, काम की मात्रा और प्रमाणीकरण विधि पर निर्भर है; API कुंजी से प्रमाणित अतिरिक्त स्थानीय काम पर API बिलिंग लागू होती है। लेकिन हमारे देखे स्थानीय सेटअप गाइड, Standard और Deep दस्तावेज़ तथा CLI FAQ में न प्रति स्कैन निश्चित कीमत है, न प्लगइन के सभी उपयोगों को कवर करने वाली अलग मूल्य तालिका। इसलिए स्थानीय स्कैन को बिना खपत वाला नहीं कह सकते, न यह दावा कर सकते हैं कि वह Cloud के US$500 क्रेडिट इस्तेमाल करता है।

Codex की बची हुई सीमा उपयोग इंटरफ़ेस में या Codex CLI के अंदर /status से देखें। Cloud स्कैन की लागत Cloud की तरफ भी जाँचनी होगी। सदस्यता की तुलना के लिए हमारा Pro की कीमत और उपयोग सीमा का गाइड देखें।

स्रोत: OpenAI, Codex और Work की कीमत तथा उपयोग और CLI प्रमाणीकरण का चयन।

पहला स्कैन: चरण और अनुरोध का उदाहरण

नीचे आधिकारिक सेटअप निर्देशों का विवरण है। केवल अपने कोड या जाँच की अनुमति वाले कोड को स्कैन करें। पहले स्कैन में लक्षित ब्रांच, रिविज़न, आउटपुट की जगह और प्रमाणीकरण विधि जाँचें। Standard से शुरू करने पर प्रक्रिया समझना आसान होता है।

डेस्कटॉप ऐप में स्थानीय प्लगइन

1. प्लगइन सूची में “Codex Security” खोजकर इंस्टॉल और सक्रिय करें। Cloud संस्करण अलग प्लगइन है।
2. साइडबार में “Security” → “Scans” → “+ Scan” खोलें।
3. रिपॉज़िटरी चुनें और कोडबेस स्कैन के लिए “Codebase” चुनें। पहले स्कैन में “Deep scan” बंद रखें।
4. जाँच के फ़ोल्डर, मौजूदा ब्रांच और रिविज़न, मॉडल तथा रीजनिंग स्तर जाँचें।
5. जरूरत पर “Additional context” में सार्वजनिक प्रवेश बिंदु, अनुमति के नियम और महत्वपूर्ण ऑपरेशन जोड़ें।
6. “Start scan” चुनकर हर चरण की प्रगति देखें। पूरा होने पर कवरेज और साक्ष्य पढ़ें।

Codex CLI में /plugins से इंस्टॉल करें, फिर /new से लक्षित रिपॉज़िटरी की नई चैट बनाएँ। सिर्फ “सुरक्षा जाँचो” कहने के बजाय विशेष स्कैन और उसके लक्ष्य का नाम स्पष्ट करने से अनुरोध का रिकॉर्ड अधिक साफ रहता है।

Codex Security से Standard स्कैन चलाएँ और services/billing पर ध्यान दें।
उपयोगकर्ता के इनपुट, बिलिंग जानकारी के स्वामित्व की जाँच और प्रशासनिक ऑपरेशन को प्राथमिकता दें।
इस टास्क में केवल जाँच और रिपोर्ट करें। सोर्स कोड न बदलें, commit, push या deploy न करें और बिलिंग सेटिंग न बदलें।
लक्षित रिविज़न, जाँचा गया दायरा, छोड़े गए या अधूरे क्षेत्र और समस्या दोहराने के साक्ष्य बताएँ।
सेटिंग बदलना जरूरी हो तो प्रस्तावित बदलाव और कारण समझाकर रुक जाएँ।

यह अनुरोध का उदाहरण है, अनुमति लागू करने वाला सैंडबॉक्स कॉन्फ़िगरेशन नहीं। स्कैन में आउटपुट फ़ाइलें बनाना और सत्यापन का काम जरूरी हो सकता है। केवल लिखित पाबंदियों से पूरे कंप्यूटर की सुरक्षा मान न लें; निष्पादन अनुमतियाँ भी जाँचें।

GitHub से जुड़ा Cloud संस्करण

1. “Codex Security Cloud” इंस्टॉल करें और लक्षित रिपॉज़िटरी से GitHub कनेक्शन जाँचें।
2. “Scan” में रिपॉज़िटरी और परिवेश चुनें। “Auto” शुरू होते समय परिवेश बनाता है; तैयार मौजूदा परिवेश जाँचने के लिए “Customize” इस्तेमाल करें।
3. एक बार की जाँच के लिए “One-Time Scan” या आगे के कमिट की निगरानी के लिए “Continuous Scanning” चुनें।
4. शुरू करने के लिए “Create” चुनने से पहले कीमत, मुफ्त शेष राशि और लक्ष्य जाँचें।

निरंतर स्कैनिंग रिपॉज़िटरी की डिफ़ॉल्ट ब्रांच को लक्षित करती है। पुराने कमिट के अधिक इतिहास को जाँचने से शुरुआती स्कैन में अधिक समय लगता है। निगरानी रोकने के लिए “Repositories” → लक्षित रिपॉज़िटरी → “Monitoring settings” खोलें, उसे रोकें और सहेजें। विंडो बंद करने से निगरानी नहीं रुकती।

स्रोत: OpenAI, प्लगइन सेटअप और Cloud सेटअप तथा निगरानी।

Standard और Deep: दायरा और संसाधन तय करना

आधिकारिक Deep सेटिंग में डिफ़ॉल्ट रूप से 4 समवर्ती वर्कर, हर वर्कर पर 3 उप-एजेंट और अधिकतम 96 घंटे का रनटाइम है। 96 घंटे कॉन्फ़िगर की गई सीमा है, सामान्य स्कैन अवधि नहीं। समय सीमा सेट करने के लिए प्लगइन संस्करण 0.1.19 या बाद का चाहिए। सीमा तक पहुँचने पर अधूरे वर्कर रुकते हैं और पूरे नतीजे एकत्र होते हैं। जिन क्षेत्रों की जाँच नहीं हुई, वे बिना जाँचे ही रहते हैं।

पहले लक्ष्य को किसी स्पष्ट सेवा तक सीमित करें और Standard के नतीजे पढ़कर तय करें कि Deep चाहिए या नहीं। भुगतान या प्रमाणीकरण जैसे महत्वपूर्ण क्षेत्रों पर गहरी जाँच केंद्रित कर सकते हैं। वर्कर की संख्या या रनटाइम घटाने से संसाधन कम लग सकते हैं, लेकिन अधिक समस्याएँ अनदेखी रह सकती हैं। सस्ता या तेज किए गए स्कैन की वास्तविक कवरेज दर्ज करें।

डिफ़ जाँचने के लिए “Changes” इस्तेमाल करें। अनकमिटेड बदलाव, एक कमिट या आधार और लक्ष्य रिविज़न चुन सकते हैं, लेकिन Changes स्कैन में Deep उपलब्ध नहीं है। ये डिफ़ और उससे सीधे संबंधित कोड जाँचते हैं; अपने आप पूरे कोडबेस का ऑडिट नहीं बनते।

स्रोत: OpenAI, Standard, Deep और डिफ़ॉल्ट सेटिंग, Changes स्कैन की कवरेज और अनुमानित लागत सीमा।

सिर्फ नतीजों की संख्या नहीं, कवरेज और साक्ष्य पढ़ें

नतीजों की संख्या से अकेले स्कैन की गुणवत्ता तय नहीं होती। गलत लक्ष्य, बीच में रुका स्कैन या अनुमति नियमों की कमी होने पर शून्य नतीजे आ सकते हैं, लेकिन कोड सुरक्षित नहीं हो जाता। आधिकारिक Standard कार्यप्रवाह भी पहले रिविज़न, जाँचे गए और टाले गए क्षेत्र तथा हर नतीजे के साक्ष्य पढ़ने की सलाह देता है।

1. क्या लक्ष्य सही है? रिपॉज़िटरी, रिविज़न और दायरा जाँचें। पुराने कोड के नतीजों को मौजूदा संस्करण की सुरक्षा का आश्वासन न मानें।
2. क्या जाँचा नहीं गया? छोड़े गए, टाले गए या बीच में रुके क्षेत्रों को जाँचें। पूरा होने का संकेत पूरे कोडबेस की कवरेज नहीं बताता।
3. क्या साक्ष्य ठोस हैं? इनपुट से खतरनाक व्यवहार तक का रास्ता, मौजूदा सुरक्षा उपाय और समस्या दोहराने की विधि तथा नतीजे देखें।
4. क्या सुधार जरूरी है? असल उपयोग में वहाँ पहुँचने की संभावना और असर आँकें; फिर स्वीकार किए गए नतीजों को एक-एक कर सुधारें।

report.md पढ़ने योग्य शुरुआती फ़ाइल है। संरचित coverage.json जाँचे गए और टाले गए क्षेत्र दर्ज करता है, जबकि findings.json में समस्या की जगह, गंभीरता, साक्ष्य और सुधार के निर्देश होते हैं। findings/ में विस्तृत रिपोर्ट और समस्या दोहराने की फ़ाइलें हो सकती हैं। साझा या संग्रहित करते समय संबंधित फ़ाइलें रिपोर्ट के साथ रखें।

अलग CLI कवरेज को complete, partial या unknown के रूप में दर्ज करता है। partial या unknown कवरेज पर एग्ज़िट कोड 2 मिलता है। बाद के स्कैन में नतीजा गायब होने पर भी मूल पथ जाँचा नहीं गया हो तो उसे ठीक हुआ नहीं कह सकते। Cloud का स्वचालित सत्यापन भी समस्या दोहराने की कोशिश करता है। बिना सत्यापित नतीजे से कोड की सुरक्षा साबित नहीं होती।

स्रोत: OpenAI, Standard स्कैन का मूल्यांकन, CLI की कवरेज और तुलना और Cloud का स्वचालित सत्यापन।

सुधार, सत्यापन और गोपनीय जानकारी

अनुमति नियम बताने से नतीजे परखना आसान होता है

स्कैन के संदर्भ में बताएँ कि कौन-सा ऑपरेशन किसे करने देना चाहिए। उदाहरण: “केवल मालिक और प्रशासक बिलिंग जानकारी देख सकते हैं” या “केवल फ़ाइल का मालिक उसे सार्वजनिक कर सकता है।” स्थानीय प्लगइन में SECURITY.md स्थायी सुरक्षा नीति रख सकता है, जबकि AGENTS.md में बिल्ड और सत्यापन के निर्देश रख सकते हैं। Cloud में बने थ्रेट मॉडल को पढ़ें और सार्वजनिक प्रवेश बिंदुओं, महत्वपूर्ण ऑपरेशन तथा भरोसे की सीमाओं में छूटी जानकारी जोड़ें।

थ्रेट मॉडल ऐप की संरचना और सुरक्षित रखने वाली शर्तों का छोटा विवरण है। Cloud में बदलाव आगे के स्कैन पर लागू होते हैं। मान्यताएँ बदलने से पिछली रिपोर्ट में जाँचा गया काम पीछे से नहीं बदलता।

एक समय में एक नतीजा सुधारें और समस्या दोहराने तथा सामान्य व्यवहार की जाँच करें

1. नतीजा स्वीकार करें: साक्ष्य और वास्तविक असर देखकर सुधारने के लिए एक नतीजा चुनें।
2. छोटा पैच बनाएँ: स्थानीय इंटरफ़ेस में “Patch” → “Generate patch” चुनें। प्रस्ताव बनाना और उसे लक्षित चेकआउट पर लागू करना अलग कार्रवाइयाँ हैं।
3. डिफ़ पढ़ें: “Apply patch” चुनने से पहले असंबंधित सफाई या दूसरे सुरक्षा उपाय कमजोर करने वाले बदलाव जाँचें।
4. सत्यापन करें: “Verify fix” से मूल समस्या दोहराने और सामान्य व्यवहार की जाँच करें। जहाँ संभव हो, ऐसा रिग्रेशन टेस्ट रखें जो सुधार से पहले विफल और बाद में सफल हो।
5. नतीजा बंद करें: सत्यापन से नतीजा अपने आप बंद नहीं होता। बचे हुए साक्ष्य अंतर जाँचें; कारण देकर बंद करें या जाँच जारी रखें।

Cloud पैच दे तो ड्राफ़्ट PR बनाने से पहले उसकी समीक्षा भी कार्यप्रवाह का हिस्सा है। प्रस्ताव, लागू करना, सत्यापन और प्रोडक्शन पर तैनाती अलग चरणों के रूप में दर्ज करें। हमारी AI से बने ऐप लॉन्च करने से पहले की जाँच भी इस्तेमाल करें; हर फैसला सिर्फ एक स्कैनर पर न छोड़ें।

“स्थानीय” का मतलब यह नहीं कि कंप्यूटर से कुछ बाहर नहीं जाता

स्थानीय निष्पादन में भी मॉडल अनुमान के अनुरोध और सत्यापन की जानकारी का प्रबंधन अलग से जाँचें। अलग CLI के आधिकारिक निर्देश बताते हैं कि स्कैन स्थानीय OS की अनुमति इस्तेमाल करते हैं, हर ऑपरेशन की मंजूरी के लिए नहीं रुकते और परिवेश के वेरिएबल ग्रहण कर सकते हैं। इन्हें सामान्य Codex चैट जैसी अनुमति वाला न मानें। अनावश्यक क्रेडेंशियल रहित स्कैन परिवेश तैयार करें।

सहेजे गए लॉग में संवेदनशील जानकारी अपने आप हटना जरूरी नहीं; उनमें सोर्स कोड या क्रेडेंशियल हो सकते हैं। आउटपुट में समस्या दोहराने के चरण और कमजोरी का विवरण भी हो सकता है। सार्वजनिक लिंक बनाने या तीसरे पक्ष को देने से पहले सामग्री और साझा करने का दायरा जाँचें। मॉडल प्रशिक्षण की सेटिंग पर हमारा अलग ChatGPT और Codex के प्रशिक्षण डेटा तथा गोपनीयता का गाइड है।

स्रोत: OpenAI, SECURITY.md और AGENTS.md, Cloud के थ्रेट मॉडल, सुधार और सत्यापन और अलग CLI की अनुमति, आउटपुट और लॉग।

शुरू करने से पहले की चेकलिस्ट

पहले स्कैन में जरूरी दायरे पर Standard से शुरू करें और देखें कि नतीजे खुद परख सकते हैं या नहीं। लगातार निगरानी के लिए Cloud और स्कैन को स्वचालित कार्यप्रवाह में जोड़ने के लिए अलग CLI पर विचार करें। इसे कमजोरियाँ खोजने और सत्यापित करने में मददगार टूल मानें, मौजूदा स्थिर विश्लेषण (SAST) या मानवीय समीक्षा की जगह लेने वाला सुरक्षा प्रमाण नहीं ।

अक्सर पूछे जाने वाले सवाल