En bref
Sert lorsque Codex est déjà dans la phase de modélisation des menaces d’un scan, lorsque la personne invoque explicitement $threat-model, ou lorsqu’elle demande explicitement de créer, mettre à jour ou enregistrer un modèle de menaces du dépôt. À laisser de côté comme déclencheur principal d’un scan complet. Un modèle généré décrit l’architecture réelle du dépôt, les capacités d’un attaquant, les frontières de confiance et les éléments pertinents pour la sécurité. S’il manque une entrée explicitement requise, il faut la demander plutôt que de substituer un modèle généré.
Ce que ça fait
- Crée ou réutilise un modèle de menaces borné au dépôt
- N’est pas le point d’entrée d’un scan complet
Pour qui, et un exemple
Les personnes déjà dans un scan, ou qui demandent clairement un modèle de menaces, pas un nouveau scan complet.
Exemple de demande : « Crée ou mets à jour le modèle de menaces de ce dépôt : architecture, attaquant, frontières de confiance. »
La phase de modélisation, une invocation explicite, ou une demande de créer, mettre à jour ou enregistrer un modèle de menaces, et non comme déclencheur d’un scan complet : c’est le rôle de cette skill. Exemple rédigé par iadujour.fr à partir du SKILL.md, non testé.
Installer
Dans Codex : codex plugin add codex-security@openai-curated (marketplace officielle du dépôt).
codex plugin add codex-security@openai-curatedFonctionne avec
- Codex
Source : README : collection de plugins Codex ; la marketplace du dépôt s’appelle « Codex official ». D’autres agents ne sont pas nommés.
Niveau : Intermédiaire
Suppose un projet déjà en place chez l’éditeur et les outils décrits dans le SKILL.md.
À savoir
Extrait du SKILL.md
La description d’origine, celle que l’agent lit pour décider de charger la skill (en anglais) :
Use when Codex is already in the threat-modeling phase of a security scan, the user explicitly invokes $threat-model, or the user explicitly asks to create, update, or persist a repository threat model. Do not use as the primary trigger for full PR, commit, branch, patch, or repository scans.
Citée depuis le SKILL.md au commit 0722921 . Le dossier contient aussi 1 fichier annexe (agents/).
Le SKILL.md compte 15 lignes et 1 sections principales :
- Workflow
Licence : Aucune licence trouvée
Vérifiée le 10 novembre 2026 sur : aucun fichier de licence dans le dossier ni à la racine du dépôt.
Aucune licence trouvée : extrait court cité uniquement (droit de courte citation). Pour le texte complet, consultez la source.
Commentaires.
Un retour d’expérience, une question, une précision sur cette skill ? Les commentaires sont relus avant publication.
Commentaires publiés
Chargement des commentaires…
Laisser un commentaire
Charte de modération. Chaque commentaire est relu avant publication. Sont refusés : l’incitation à la haine, les propos injurieux ou discriminatoires, la publicité, le spam et les liens promotionnels, le hors-sujet et les données personnelles d’autrui.