Codex Securityとは？使い方・料金と10月からのトークン課金、Claude Securityとの違い

Codex Securityは、OpenAIがCodexの上で提供している脆弱性の検出・検証・修正のエージェントです。2026年3月6日にリサーチプレビューとして公開されたあと、7月にオープンソースのCLI、8月にプルリクエスト向けのSecurity Review、9月29日のDevDayでCodex Security Cloudのプラグインが加わり、使い方の入口が4つに増えました。料金も2026年10月1日からトークン量に応じた課金へ切り替わっています。

この記事では、2026年10月31日時点の公式ドキュメントとヘルプをもとに、入口ごとの違い、料金と無料枠、対象プラン、CLIの導入とCIへの組み込み、AnthropicのClaude Securityとの違いを整理します。CLIは版0.8.2をインストールし、ヘルプと試行実行（dry-run）で挙動を確かめました。

まとめ

• 入口は4つ：GitHubリポジトリをクラウドで検査する「Codex Security Cloud」、手元のリポジトリを検査する「プラグイン」、端末やCIで回す「CLI／SDK」、プルリクエストを見る「Security Review」。
• 料金：Cloudのスキャンは2026年10月1日12時53分（米太平洋時間）以降に設定した分からトークン課金で、プランに含まれる利用枠の対象外です。対象アカウントには期限のない500ドル分の無料スキャンクレジットが付きます。
• 対象プラン：ヘルプはPro・Business・Enterprise・Eduと書きますが、Codexの料金表ではGitHub連携リポジトリ向けのCodex Securityは「Enterprise / Education」欄だけが「利用可」です。Plus契約だけではCloudやSecurity Reviewの対象になりません。CLIで別途契約した推論プロバイダーを使う場合は、そのプロバイダーの認証と利用条件に従います。
• CLI：npm install -g @openai/codex-securityで入ります。既定モデルはgpt-5.6-sol・推論はxhighで、--max-costは目安であって請求の上限ではありません。
• Claude Securityとの違い：Claude SecurityはClaude Enterprise向けの公開ベータで、Claude Mythosでスキャンし、GitLabなどGitHub以外のGitサーバーにも対応します。Codex SecurityはOSSのCLIでCIや他社モデルまで使える点が違います。

Codex Securityの4つの入口と提供までの経緯

公式のCodex Securityの概要ページは、コードがどこにあり結果をどう見たいかで入口を選ぶよう案内しています。初めての手元のスキャンにはプラグインを勧めています。

Aardvarkから2026年10月までの流れ

前身は、2025年10月30日に限定ベータ（private beta）として発表されたセキュリティ研究エージェントAardvarkです。2026年3月6日の公開告知で「Codex Security」に改称され、ChatGPT Pro・Enterprise・Business・Edu向けにCodex web経由で1か月の無料利用付きで提供が始まりました。

• 2026年7月28日（UTC）：npmに@openai/codex-securityの0.1.0が公開（GitHubのリポジトリはApache-2.0ライセンス）。2026年10月29日に0.8.2。
• 2026年8月6日：PRを見るSecurity Reviewがリサーチプレビューで公開（Codexの変更履歴が同日のOpenAIDevsの告知を掲載）。
• 2026年9月29日：DevDay 2026で、Cloud用の別プラグイン「Codex Security Cloud」を発表。
• 2026年10月1日：Cloudのスキャンがトークン課金に移行。

公開告知が示した実績は、ベータ参加企業の外部リポジトリで直近30日に120万件超のコミットを検査し、Criticalが792件、Highが10,561件というものでした。Criticalが出たコミットは全体の0.1%未満です。ベータ期間中には、あるリポジトリでノイズが初期から84%減り、重大度の過大評価が90%超、誤検知率が全リポジトリで50%超下がったとしています。OpenSSH・GnuTLS・GOGS・GnuPGなどのOSSで見つけた脆弱性も、CVE番号付きで列挙されています。いずれもOpenAI自身の公表値で、公開告知には第三者による独立検証の結果は示されていません。

脅威モデル・検証・修正の仕組み

OpenAIのヘルプによると、Codex Securityはファジングやシグネチャ照合ではなく、言語モデルの推論・ツール実行・長い文脈で脆弱性を探します。従来のスキャナーよりセキュリティ研究者の作業に近い進め方です。プラグイン0.1.25の変更履歴では、標準スキャンの段階が「脅威モデル作成→探索→検証→攻撃経路の分析→レポート」と表示されるようになりました。

脅威モデルの編集と重大度への反映

最初のスキャンで、Codex Securityは攻撃者の入口・信頼境界・機密データ・重要なコード経路をまとめた脅威モデルを作ります。脅威モデルは見ることも書き換えることもできます。Cloudではリポジトリの「Monitoring settings」で編集し、変更は次回以降のスキャンに効きます。コードからは読み取れない配置の前提（社内網からしか届かない管理画面がある、など）を書き足すと、重大度の付け方が実態に近づきます。

「検証済み」が示すもの、示さないもの

検証は、隔離環境で脆弱性の再現を試み、誤検知を減らす工程です。ただしCloud FAQは、ソース解析だけでも脆弱なコード経路は示せる一方、実行での再現まで済んでいるとは限らないと説明しています。再現に失敗しても、問題が無いのか環境が合わなかったのかは区別がつきません。指摘ゼロのスキャンも「脆弱性が無い」証明にはなりません。CLIの結果ではcoverage.jsonに除外したパスや後回しにした範囲が残るので、指摘の件数より先にこれを見ます。

修正は自動では反映されません。Cloudでは「Fix with Codex」で修正の会話を始めるか、提案パッチを確認してから「Create draft pull request」で下書きPRを作ります。どちらもマージは人が行います。

料金：2026年10月1日からのトークン課金と無料枠

Cloudの課金条件と500ドルの無料クレジット

Cloud FAQによると、2026年10月1日12時53分（米太平洋時間）より後に設定したリポジトリスキャンと継続スキャンは、プランのトークン単価で課金されます。支払いはプランに応じてクレジットか米ドルです。この利用は、プランに含まれる利用枠（included usage allowance）でまかなえません。

無料クレジットは期限が無く、ワークスペース内の全員で共有します。リポジトリスキャンと継続スキャンが同じ残高から引かれます。既存の継続スキャンを続けるには「Keep scans running」で有料利用を有効にし、止まったあとに再開するなら「Re-enable scans」を選びます。ワークスペースではオーナーがこの選択をします。なお10月上旬に出た日本語の解説には無料期限を「10月15日」とするものがありますが、2026年10月31日時点のFAQの記載は10月21日です。

費用は「Scans」で各スキャンを開くと確認できます。トークン数にカーソルを当てると入力・キャッシュ入力・出力の内訳が出ます。表示額は無料クレジット適用前の金額で、「Exempt from billing. No charges apply.」と出たスキャンは表示があっても請求されません。

トークン単価：Daybreak BlueはGPT-5.6 Solと同額

ヘルプによると、Codex Security CloudにはOpenAIのサイバー防御向けアクセス区分Daybreak Blueの利用権が含まれます。この利用権はCloudの中だけで有効で、CLIなど他の入口やAPIには及びません。Codexの料金表のStandard速度の単価（100万トークンあたりのクレジット）は次のとおりです。

クレジットの購入価格や割引はプランや契約で変わると料金表に書かれており、1回のスキャンがいくらかかるかの目安は公式資料にありません。費用はリポジトリの規模、さかのぼる履歴の長さ、検証で走らせる作業量で変わります。まず小さなリポジトリで1回スキャンし、「Scans」の実額を見てから対象を広げるのが確実です。

CLI・プラグインの費用と上限指定（max-cost）の限界

CLIはChatGPTのサインインでもAPIキーでも動きます。CLI FAQによると、環境変数にOPENAI_API_KEYかCODEX_API_KEYがあると、CIや--json出力などの非対話スキャンはサインイン済みでもAPIキーを使います。API料金で請求されたくない場合は--auth chatgptを明示します。

--max-cost 5のように米ドルで上限を指定できますが、FAQは「見積もりであり請求の上限ではない」としています。進行中のリクエストは上限を超えても完了します。手元のプラグインのスキャンがプランの利用枠からどう引かれるかは、公式資料に明記がありません。

対象プラン：ヘルプと料金表で食い違う点

対象プランは、公式の資料どうしで書き方が揃っていません。

料金表の機能表では、「Codex Security for connected GitHub repositories」の行がPlus・Pro・Businessとも「unavailable」です。Cloudのセットアップ手順も「Codex Security Cloudのアクセスがあるワークスペース」を前提にしています。個人のProやBusinessでCloudを使う予定なら、契約前にプラグイン一覧に「Codex Security Cloud」が出るかを確かめるのが確実です。

EnterpriseとEduでは、管理者が「Workspace Settings」→「Permissions」の「Codex Cloud」で「Allow members to use Codex Security」を切り替え、ロールやSCIM同期グループ単位で絞り込めます。Codex CloudとCodex Securityの両方のアクセスが必要です。CLIのパッケージは誰でも入れられますが、OpenAIのモデルでスキャンするにはCodex Securityのアクセス権が要り、リポジトリ全体のスキャンの一部はTrusted Access for Cyber（Daybreak）の承認も求めます。Daybreakの区分はOpenAI Daybreakの解説にまとめています。

使い方：入口ごとの手順

Codex Security Cloudの接続設定と初回スキャン

Cloudは、あらかじめCodexのcloud環境を用意したワークスペースで使います。

1. ChatGPT（Webかデスクトップ版）の「Plugins」で「Codex Security Cloud」を検索し、インストールして有効にします。
2. 「Scan」を選び、求められたら「Connect GitHub」で自分のGitHubアカウントを接続します。Cloudはワークスペース共通の接続に対応せず、スキャンを始める人それぞれに接続とリポジトリの権限が要ります。
3. 「New Scan」でリポジトリを選び、環境は「Auto」か既存の環境を指定し、「Scan Method」で「One-Time Scan」を選んで「Create」を押します。
4. 「Findings」で指摘を開き、対象のコードとリビジョン、攻撃者がたどる経路、検証の根拠を確認します。
5. 最初の結果を確認したら、「Continuous Scanning」で既定ブランチへの新しいコミットの監視を始められます。さかのぼる履歴が長いほど初回の検査は長くなります。

監視の設定はワークスペースで共有され、誰かが一時停止すると全員分止まります。

プラグインによるローカルスキャンの手順

ChatGPTデスクトップ版で「Codex」を選び、「Plugins」から「Codex Security」を入れると、サイドバーに「Security」が出ます。「Scans」→「+ Scan」でリポジトリとブランチを選び、「Deep scan」はオフのまま始めるのが標準スキャンです。Codex CLIでも/pluginsから同じプラグインを入れ、「Run a Codex Security scan on this repository.」と頼むと端末内で検査が進みます。プラグインのクイックスタートは、品質を優先するならgpt-5.6-solを推論xhighで使うよう勧めています。結果はreport.mdと、findings.json・coverage.jsonなどのファイル一式で残ります。

CLIのインストールとdry-runによる入力確認

CLIのクイックスタートの前提は、Node.js 24か26（22なら22.13.0以降）とPython 3.10以降です。Python 3.10を使う場合は、スキャンに使用するPython環境にtomliもインストールします。0.8.2を入れて確認した手順は次のとおりです。

npm install -g @openai/[email protected]
codex-security --version        # 0.8.2
codex-security info --json      # 既定モデルと同梱プラグインの版を表示
codex-security login            # ChatGPTでサインイン

# 結果はリポジトリの外に置く（ソースの抜粋や脆弱性の詳細が入るため）
codex-security scan /path/to/repo --auth chatgpt \
  --output-dir /path/outside/results --dry-run

info --jsonは"model": "gpt-5.6-sol"と"reasoningEffort": "xhigh"を返しました。--dry-runは入力の確認だけで、認証も読み込まずにスキャン対象（repository）、モード（standard）、出力先、モデルを表示して終わります。サインインやPython環境の問題はここでは見つからない点に注意してください。

差分だけを見るなら--diff origin/main、作業中の変更なら--working-tree、特定のフォルダなら--path srcを付けます。--mode deepは複数のワーカーで繰り返し探索する深いスキャンで、既定では同時4ワーカー、新しい指摘が4回続けて出なければ止まります。

Security Reviewの自動設定とPRコメントによる実行

Security Reviewは、PRの差分と周辺のコードを脅威モデルやセキュリティ方針と照らして見る機能です。Codexの設定画面でリポジトリを選び、「Auto security review」をオンにすると、PRを開いたとき・プッシュのたび・通常のコードレビューと同時、のいずれかで動きます。手動で頼むときはPRに次のコメントを書きます。

@codex security review

既定では、自動レビューはHighとCriticalだけ、手動レビューはMedium以上をPRに投稿します。利用にはプランに含まれるCodexの利用枠かChatGPTのクレジットが使われます。注意したいのは、PRに投稿された指摘はそのPRと同じ公開範囲になることです。公開リポジトリでは、未修正の脆弱性の内容を誰でも読めてしまいます。未修正の脆弱性を公開したくない場合は、公開PRへのSecurity Reviewの投稿を避け、非公開のスキャン結果で確認します。重大度の閾値を上げても、その閾値以上の指摘は公開されます。

CIへの組み込み：GitHub Actionsと重大度ポリシー

CLIにはGitHub Actions用のActionとGitLab CI/CDの手順が用意されています。APIキーはCIのシークレットにCODEX_SECURITY_API_KEYとして保存し、スキャンのプロセスにはOPENAI_API_KEYとして渡すのがCI/CDの概要の指定です。Actionを使わない場合はCLIを直接呼びます。次の例はGitHub Actionsのrunステップから呼ぶ想定で、PRのheadと比較先のorigin/mainを取得済み、RUNNER_TEMPとOPENAI_API_KEYが設定済みであることを前提にしています。比較先がmain以外ならブランチ名を変えます。

# PRの差分をスキャンし、High以上があれば終了コード1で落とす
npx @openai/codex-security scan . --auth api-key \
  --diff origin/main \
  --output-dir "$RUNNER_TEMP/codex-security" \
  --fail-on-severity high \
  --max-cost 10

終了コードは、完了して閾値以上の指摘が無ければ0、閾値以上があれば1、入力・実行・結果の整合性・必須出力のいずれかの失敗なら2です。0でもすべてのファイルを見たことにはなりません。公式は最初は指摘を報告だけにとどめ、代表的な指摘・範囲・費用・所要時間を見てからマージを止める条件を決めるよう勧めています。

CIのスキャンはランナーの権限のまま承認待ちなしで動くので、デプロイ用の認証情報は別ジョブに分けます。検査対象のリポジトリに置かれた設定ファイルを-cで読ませるのも避けます。CLIの設定はコマンドのオプションと同じ権限を持ち、MCPサーバーの起動やモデルの送り先まで変えられるためです。

ドキュメントのActionの例はaction-v0.3.0（CLI 0.3.0）に固定されていますが、2026年10月29日の最新はaction-v0.8.2です。実際にCLI 0.8.2のscan --helpを見ると、FAQで案内されている--max-time-hoursは非推奨になり、分単位の--max-time（深いスキャンの上限は5,760分）に置き換わっていました。版の進みが速いので、オプションはドキュメントより--helpの表示を正にしてください。

Claude Securityとの違い

Anthropicは2026年2月に「Claude Code Security」を限定プレビューで公開し、現在は「Claude Security」としてClaude Enterprise向けの公開ベータで提供しています。以下はClaudeのヘルプと製品ページの記載（2026年10月31日時点）との比較です。Claude Securityの詳細はClaude Securityの解説にあります。

Claude Securityの無料枠は、新しいエクスペリエンスのプロジェクトに適用され、既存のEnterprise組織では2026年10月21日から連続する2か月、各月最大2万5,000ドル分です。12月31日（UTC）はキャンペーン全体の最終期限で、各組織の2か月を延長するものではありません。Claude SecurityはZero Data Retentionに対応せず、ZDRが必要な組織にはClaude Code用プラグインを案内しています。

選び方ははっきりしています。すでにChatGPT EnterpriseでCodexを使い、GitHubにコードを置いているならCodex Securityです。CLIがOSSで、OpenRouter・Fireworks・Amazon Bedrockのモデルも指定できるため、Codex SecurityはCLIの実装を確認・変更しながらCIへ組み込めます。GitLabやBitbucketが主で、Claude Enterpriseを契約しているならClaude Securityが合います。同じ型の製品にはAWSのAWS Continuumもあります。

既存のSAST・SCAとの役割分担

Codex Securityは既存の静的解析を置き換えるものではありません。SemgrepやSonarQubeなどのSASTでは、解析ルールや対象範囲を設定してコードを検査します。所要時間や結果は、コード規模、解析設定、製品やルールの更新にも左右されます。依存ライブラリの既知の脆弱性はDependabotやSnykなどのSCAで確認します。ただし、対応するエコシステムや依存関係の認識範囲、脆弱性データベースの収録範囲に制約があります。Codex Securityは推論で探すため、同じ設定でも実行ごとに結果が変わり得るとCLI FAQ自身が書いています。

• 毎回のPR：SAST・SCAで既知パターンと依存を機械的に止める。
• 重要なPR：Security Reviewか--diffのスキャンで、認可漏れや信頼境界の取り違えなど文脈に依存する欠陥を見る。
• 週1回など定期：既定ブランチの全体スキャンで、脅威モデルを更新しながら見落としを拾う。

他のスキャナーの指摘を取り込んで整理する使い方もあります。CLIのimportはGitHubのcode scanningのアラートを読み、プラグインの「Triage a backlog」は既存の指摘を実行せずにコードと突き合わせて優先度を付けます。SAST製品側の機能比較はDatadog Code Security、AIのコードレビュー全般はCodeRabbitの記事が参考になります。社外の目で診断を受けたい場合は、脆弱性診断・セキュリティ診断と組み合わせる方法もあります。

導入前の権限・ログ・公開範囲・検査対象の管理

Codex Securityは検査対象のコードを読み、ときには実行もします。導入前に次の4点を決めておきます。

• 手元のCLIは承認なしで動く：CLIはOSのユーザー権限で動き、承認を求めずに進みます。スキャンのプロセスは環境変数を引き継ぐので、関係の無いクラウドの認証情報は外してから始めます。
• ログはマスクされない：scans logsで見られるログやダッシュボードには、ソースコードや認証情報がそのまま含まれ得ます。結果フォルダはリポジトリの外の、権限を絞った場所に置きます。
• PRの指摘は公開範囲を引き継ぐ：Security Reviewが投稿した指摘は、そのPRを見られる人なら誰でも読めます。
• 信頼できないリポジトリは検査しない：CI/CDの概要は「信頼できるリポジトリと変更だけをスキャンする」よう明記しています。外部からのPRを自動で検査する設定は、このルールに反します。

入力と出力の学習への利用は、プランで扱いが違います。OpenAIの法人向けデータ方針では、ChatGPT Business・Enterprise・Eduの入力と出力は既定で学習に使われません。一方、ProでCodexを使う場合は、OpenAIのヘルプのとおり、データコントロールで学習をオフにしない限りモデルの改善に使われることがあります。Pro契約で業務のコードを検査するなら、先にこの設定を確認してください。

Codex本体の承認モードやサンドボックスはCodexの解説で、AIエージェントの権限設計の考え方はClaude Codeのセキュリティ設定で詳しく扱っています。Codex Securityが関わった脆弱性の例には、調査と報告の担い手としてWiz Research・Califと並んでOpenAI Codex Securityが挙げられているPHP2Shellがあります。

よくある質問

Codex Securityは無料で使えますか？

公開当初の1か月の無料期間は終わっています。Cloudは2026年10月1日からトークン課金で、対象アカウントには期限のない500ドル分の無料スキャンクレジットが付きます。CLIのパッケージ自体は無料で入れられますが、スキャンではモデルの利用料がかかります。

ChatGPT Plusでも使えますか？

Plus契約だけではCloudやSecurity Reviewを利用できません。これらの対象はPro・Business・Enterprise・Eduと案内されています。公開CLIを別途契約した推論プロバイダーで使う場合は、その認証と利用条件に従います。さらに料金表では、GitHub連携リポジトリ向けのCloudは「Enterprise / Education」欄だけが「利用可」です。

Codex Security Cloudとプラグインは何が違いますか？

Cloudは連携したGitHubリポジトリをCodex cloudで検査し、新しいコミットの監視もできます。プラグインは手元のリポジトリをデスクトップ版CodexやCodex CLIの中で検査します。両者は別のプラグインで、Cloudのトークン課金とDaybreak Blueの利用権はCloudの中だけの扱いです。

@codex security reviewは何をしますか？

PRにこのコメントを書くと、Codexが差分と周辺のコードを検査し、手動レビューの閾値（既定はMedium以上）を満たす指摘をPRに投稿します。全文のレポートはCodexのタスクの「Security Report」タブで見られます。

Codex SecurityとClaude Securityのどちらを選べばよいですか？

ChatGPT EnterpriseとGitHubの組み合わせで、CIにも組み込みたいならCodex Securityです。Claude Enterpriseを契約済みで、GitLabなどGitHub以外のGitサーバーも検査したいならClaude Securityです。

指摘がゼロなら安全と考えてよいですか？

いいえ。公式のFAQは、指摘ゼロのスキャンでも脆弱性を見落とし得ると明記しています。スキャンが完了したか、意図したリビジョンを見たか、coverage.jsonに後回しの範囲が残っていないかを確認してください。

関連記事

• Claude Securityとは？Mythos 5.1で動く脆弱性スキャンの使い方・料金とプラグイン版の違い【2026年10月】
• Codexとは？OpenAIのAIコーディングエージェントの使い方・料金・モデルと商用利用【2026年10月】
• OpenAI Daybreakとは？GPT-5.5-Cyberの実力と日本企業の現実的な対応【2026年6月】
• Codex CLIとは？install.shの導入先・料金・使い方を0.163.0で確認【2026年10月】
• AWS Continuumとは？コード脆弱性の検出・検証・修正PRの仕組みと料金・導入手順