Security Best Practices

Security Best Practices ist ein offizieller, kuratierter OpenAI-Skill für Codex. Laut Anbieter unterstützt er ausdrücklich angeforderte Sicherheitsberatung, Sicherheitsberichte und Secure-by-default-Coding-Hilfe für Python, JavaScript, TypeScript und Go. Die Quelle liegt im offiziellen Repository openai/skills unter skills/.curated/security-best-practices; der Skill-Ordner enthält laut LICENSE.txt die Apache License 2.0. Dieser Eintrag trennt die dokumentierten Anbieterangaben von einer eigenen Einordnung: Die Herkunft ist überprüfbar, die Qualität einer konkreten Empfehlung muss aber immer am Projekt, an seinen Abhängigkeiten und am realen Betrieb bewertet werden.

Zweck und Auslösung

Der Skill ist für einen klaren Sicherheitskontext gedacht. Er soll laut Anbieter nur ausgelöst werden, wenn eine Person ausdrücklich nach Best Practices, einer Sicherheitsprüfung, einem Security Report oder sicherem Standardcode fragt. Für allgemeines Code-Review, gewöhnliche Fehlersuche und nicht sicherheitsbezogene Aufgaben ist er nicht vorgesehen. Diese Begrenzung ist praktisch wichtig, weil sicherheitsorientierte Hinweise andere Belege, Prioritäten und Annahmen benötigen als eine reine Funktionsprüfung. Vor der Analyse sollte deshalb feststehen, ob ein vorhandener Codebestand geprüft, neue Implementierung abgesichert oder ein strukturierter Bericht erstellt werden soll.

Sprachen und Frameworks

Am Anfang steht die Ermittlung aller relevanten Sprachen und Frameworks im tatsächlichen Arbeitsbereich. Der Anbieter empfiehlt, den primären Backend- und Frontend-Stack zu bestimmen und beide Seiten einer Webanwendung zu berücksichtigen. Danach werden die passenden Referenzdateien im Skill-Ordner gesucht. Erwartet werden sprach- und frameworkbezogene Dateien nach einem festen Namensschema sowie allgemeine Hinweise für eine Sprache. Sind keine passenden Referenzen vorhanden, darf der Agent bekannte allgemeine Sicherheitspraktiken heranziehen, muss die fehlende konkrete Abdeckung bei einem Bericht aber offen benennen. Das verhindert, dass eine allgemeine Empfehlung fälschlich als projektspezifischer Nachweis erscheint.

Arbeitsmodi

Der primäre Modus verwendet die gefundenen Hinweise, um neuen Code sicher und mit sinnvollen Voreinstellungen zu schreiben. Im passiven Modus erkennt der Agent während anderer Entwicklungsarbeit besonders folgenschwere Sicherheitsprobleme und weist darauf hin. Ein dritter Modus erzeugt auf ausdrücklichen Wunsch einen priorisierten Bericht. Laut Anbieter soll dieser Bericht eine kurze Zusammenfassung und klar getrennte Schweregrade sowie Dringlichkeiten enthalten. Kritische Befunde brauchen eine eindeutige Auswirkungsbeschreibung, nummerierte Referenzen und konkrete Belegstellen mit Zeilennummern. Nach der Erstellung soll der Bericht als Datei mit dem Namen security_best_practices_report.md oder an einem ausdrücklich vereinbarten Ort gespeichert werden.

Sichere Grenzen

Die Empfehlung bleibt an den verfügbaren Quellen und am sichtbaren Projektkontext gebunden. Wenn Sprache oder Framework unklar sind, soll der Agent das Repository untersuchen und seine Belege nennen. Kundenspezifische Regeln können eine Best Practice begründet übersteuern; solche Ausnahmen sollten nachvollziehbar dokumentiert werden. Für die Katalognutzung bedeutet das, dass ein Bericht keine Geheimnisse, Zugangsdaten oder Tokens enthalten darf. Sicherheitsrelevante Beispiele müssen deshalb ohne echte Werte und ohne gefährliche Befehle formuliert werden. Verbundene Modell- oder Agentendienste können Code und Kontext an ihren jeweiligen Anbieter übertragen; lokale Analyse im Arbeitsverzeichnis ist nicht automatisch eine Zusicherung, dass keine Daten das System verlassen.

Allgemeine Hinweise und Grenzen

Laut Quelle gehören der vorsichtige Umgang mit öffentlichen Ressourcenkennungen und die Verwendung ausreichend zufälliger IDs zu den allgemeinen Hinweisen. Bei TLS soll zwischen Entwicklungsumgebung und tatsächlicher Produktionsarchitektur unterschieden werden; fehlendes TLS in einer lokalen Umgebung ist nicht automatisch ein Befund. Ebenso warnt die Quelle vor pauschalen Empfehlungen für sichere Cookies oder HSTS, wenn deren Einsatz die erreichbare Infrastruktur nicht berücksichtigt. Der Skill ersetzt keine unabhängige Sicherheitsbewertung, keine kontrollierten Tests und keine fachliche Freigabe. Teams sollten Empfehlungen gegen Authentifizierung, Autorisierung, Datenklassifizierung, Netzwerkpfade, Abhängigkeiten, Logging und Incident-Prozesse prüfen. Seine Stärke liegt in einem expliziten Sicherheitsfokus, nachvollziehbaren Annahmen und einer passenden Referenzauswahl, nicht in einer automatischen Garantie.